SquirrelScan
面向编码智能体的网站 QA 工具：跨 SEO、性能、安全、无障碍与智能体体验的 282 条审计规则，为你的 AI 编码智能体给出精确修复指引。
- Star 数
- ★ 296
- 最近更新
- 今天
- License
- MIT
- 主语言
- TypeScript
- FA 评分
- 67/100 · 存在缺口
30 秒速览
- 运行形态
- 可在哪里用
- 通用 · 跨平台Codex · Claude Code
- 费用
- 有免费版，另有付费云服务
- 上手难度
- 低 · 几分钟可跑通
- 开始前需要
- 典型场景
- 独立开发者在发布新站点后，用 squirrel audit example.com 快速发现 SEO 与性能回归。
- 不适合
- 需要完全离线、不依赖厂商云服务的团队（云审计、云渲染和仪表盘需登录私有托管服务）
- 只用 Node.js 且不愿安装 Bun 1.4.0 运行时的开发者
- 对默认开启遥测敏感、又不愿配置 NO_TELEMETRY 的隐私团队
- 源码审查
- 67/100 · 存在缺口
这个 Agent 能做什么，适合哪些场景？
SquirrelScan 是一个开源 CLI 工具，用于审计网站的 SEO、性能、安全、无障碍和智能体体验（AX）问题，并生成可供编码智能体执行的精确修复说明。它包含一个高性能、内存优化的爬虫和 282 条规则，覆盖 21 个类别，从可抓取性到 WCAG 无障碍覆盖。支持 CLI 直接运行、云审计、MCP 服务器（mcp.squirrelscan.com）、以及面向 Claude Code、Cursor、Codex 和 opencode 的插件与技能。输出格式涵盖控制台、JSON、HTML、Markdown、Text、LLM 和 XML。本仓库开源了完整的本地 CLI、爬虫、审计引擎、规则、报告生成器与文档站点；托管 API、网站、仪表盘和云端 worker 为独立的私有服务。
运行 squirrel audit example.com 后，工具会爬取目标站点，执行 282 条规则（如 robots.txt 与 sitemap 校验、LCP/CLS/TTFB 性能提示、HTTPS/HSTS/CSP 安全检查、61 条 WCAG 无障碍规则、GPTBot/Claude-User 等爬虫是否获得同等内容的 AX 检查），并为各类别打分。可用 -f html 生成报告、--format llm 输出管道给 Claude、-C quick 做快速探测、--rule-include ax,performance 只跑指定规则。通过 squirrel auth login 登录后可使用云审计与云端渲染。作为 MCP 服务器接入编码智能体后，可执行审计、定位源文件、批量修复并反复重审的完整闭环。
- 独立开发者在发布新站点后，用 squirrel audit example.com 快速发现 SEO 与性能回归。
- Claude Code 用户安装 squirrelscan 插件，让智能体自动审计本地项目站点、映射问题到源文件并批量修复。
- Cursor 用户通过一键安装 MCP 服务器，在 IDE 内对客户的网站进行可共享的 HTML 报告审计。
- SEO 顾问使用增量爬取（ETag、Last-Modified、内容哈希、断点续爬）定期跟踪大型站点的演变并对比历史爬取结果。
- 安全团队利用站点完整性规则检测钓鱼工具包、注入的桥页、混淆脚本和泄露的凭据。
- AI 产品团队审计其网站对 GPTBot、Claude-User 等智能体的友好度，包括 AGENTS.md、llms.txt 与 Markdown 响应。
如何安装或部署这个 Agent？
macOS/Linux：curl -fsSL https://install.squirrelscan.com | bash；Windows：iwr -useb https://install.squirrelscan.com/install.ps1 | iex；npm：npm install -g squirrelscan；免安装运行：npx squirrelscan audit example.com。接入 Claude Code 插件：/plugin marketplace add squirrelscan/squirrelscan 然后 /plugin install squirrelscan@squirrelscan；或仅添加 MCP 服务器：claude mcp add --transport http squirrelscan https://mcp.squirrelscan.com/mcp。Cursor 一键安装徽章或手动在 ~/.cursor/mcp.json 添加 {"mcpServers":{"squirrelscan":{"url":"https://mcp.squirrelscan.com/mcp"}}}。源码开发需要 Bun 1.4.0：git clone 仓库后 bun install --frozen-lockfile。
如何使用这个 Agent？
基础审计：squirrel audit example.com；生成 HTML 报告：squirrel audit example.com -f html -o report.html；管道给 Claude 分析：squirrel audit example.com --format llm | claude；快速探测：squirrel audit example.com -C quick；只跑指定规则：squirrel audit example.com --rule-include ax,performance；登录云服务：squirrel auth login。安装技能：npx skills add squirrelscan/squirrelscan，然后在智能体中说"Use the audit-website skill to audit this site and fix all issues but only crawl 10 pages"。关闭遥测：squirrel self settings set telemetry false 或设 NO_TELEMETRY=1。
这个 Agent 有哪些优点和局限？
- 282 条规则、21 个类别，覆盖含独特的智能体体验（AX）类别——检查 GPTBot/Claude-User 是否获得与浏览器相同的内容、AGENTS.md、llms.txt 等，这是多数审计工具没有的维度。
- 多种交付形态：单二进制零依赖 CLI、远程 MCP 服务器、Claude Code 插件、Agent Skills，适配不同工作流。
- 工程化细节扎实：ETag/Last-Modified/内容哈希的智能增量爬取与断点续爬、爬取历史对比、七种输出格式、shell 补全与自更新。
- MIT 许可，完整的 CLI、爬虫、审计引擎、规则和报告生成器均开源可审计。
- 云端审计、云端渲染、仪表盘等依赖私有托管服务，需要 squirrel auth login 和可能的账户/额度，并非全部本地。
- 源码开发绑定 Bun 1.4.0 运行时，Node.js 环境无法直接开发构建。
- 默认开启遥测（虽可关闭且声称极简），对隐私敏感团队需额外配置 NO_TELEMETRY。
- 贡献要求 Developer Certificate of Origin 签署（git commit -s），对贡献者有额外流程成本。
这个 Agent 与同类方案有什么区别？
与相关度最高的同类 agent 并排比较关键指标。
| Agent | 源码审查 | 形态 / 费用 | Star | 最近更新 | 主语言 | 完整支持的平台 |
|---|---|---|---|---|---|---|
| SquirrelScan 当前 | 67 · 存在缺口 | 命令行工具免费版 + 付费版 | ★ 296 | 今天 | TypeScript | Codex · Claude Code |
| 前端检查清单 | 37 · 缺口较多 | 网页应用免费 | ★ 75k | 18 天前 | MDX | — |
| OSS Autopilot | 83 · 表现良好 | Agent 插件 / 技能免费 | ★ 23 | 今天 | TypeScript | Claude Code · Claude.ai |
| Context | 74 · 存在缺口 | MCP 服务器免费 | ★ 428 | 3 天前 | TypeScript | Codex · Claude Code · Claude.ai |
FollowAgents 如何评估这个 Agent？
查看各维度的扣分理由
证据显示权限克制（CI 最小权限、NO_TELEMETRY），依赖审计有 workflow 并用 overrides 固定多个已知漏洞依赖，但 audit:dependencies 忽略了 7 个 GHSA，未在文件中说明缓解理由，故 dependency_security 扣分不满分；遥测默认开启但可关闭且字段受限，扣 user_confirmation 一分；数据流（云端 MCP、OAuth/API key、遥测）在 README 有说明但云端实现私有，data_flow_transparency 与 sensitive_data_handling 仅及格；回滚/恢复仅提 checkpoint 恢复，self-update 无回滚说明；DCO 签署与 CodeQL、secret-scan 支持来源治理，但发布者身份未验证，source_attribution 不给满分。
测试文件显示对选项合并、超时钳制、WAF 误报等有细致的单测覆盖，CI 有 suites 一致性检查，自洽性良好；但提供的样本只覆盖少数模块，failure_messages 未见到具体证据，仅给 1 分。
README 明确多受众（开发者、CI、coding agent、MCP 客户端）与多环境（macOS/Linux/Windows/npm/Bun 源码构建），场景划分清晰；quick/full 档位与 --rule-include 提供精度控制；但对旧版本、非 Bun 环境的兼容边界未说明，capability_boundaries 部分依赖外部文档。
信息架构清晰（特性表、规则分类表、各 agent 安装章节、安装说明三平台齐全，LICENSE 完整）；但 CHANGELOG 本身未见（仅有 release 脚本测试），known_limitations 无专门章节，私有云端服务与开源范围的界限只在 README 一段带过，均扣分；商标文件被引用但内容未见。
七种输出格式含 LLM 专用格式与内嵌修复指引，输出可用性证据充分；282 规则的边际价值声称合理但无执行验证；成本方面有 quick 档与增量爬取，但云审计的 credits/定价机制仅提及未说明。
README 声称可追溯到测试、golden 数据、CI workflow，引用 issue 编号（#513、#267、#1066）便于追踪；但示例报告、规则文档、遥测声明均指向外部站点，本仓库内无法交叉印证，cross_source_corroboration 仅 1 分。
- 静态审查，未执行任何命令；所有结论基于仓库文件。
- audit:dependencies 显式忽略 7 个已知漏洞通告，使用前应自行确认这些依赖是否可达敏感路径。
- 遥测与安装注册默认开启，需主动设置 NO_TELEMETRY 或配置关闭。
- 云端 MCP、报表发布与 cloud worker 为私有实现，审计数据流向无法从本仓库核实。
- curl | bash 安装脚本未在提供的文件中展示，安装前应审查 install.sh 内容。
- 无可见 CHANGELOG 与已知限制章节，版本行为差异需自行核对。
最近版本
来自该项目 GitHub Releases 的最新发布记录，说明为上游原文摘录，未经本站改写或测试。
-
发布说明摘录
White-label reports get a website and a footer, and the docs get a report walkthrough. Added - White-label reports can show a website link and footer text. Team and Enterprise organizations that use white-label reports can add a website and a footer line, such as a copyright notice. The report header links the logo or brand name to the website, and the footer shows the text and the website link where the squirrelscan credit was, in HTML, Markdown and text reports, including local reports from a signed-in CLI. Only an https:// website is linked. A report keeps the branding it was pu …在 GitHub 查看 ↗ -
发布说明摘录
Reports can show what passed, score rings tell the truth about color, and the docs get a glossary. Added - squirrel audit and squirrel report take --include-passed, which lists the rules that passed after the issues, in every format: each rule with at least one passing check and no warning or error, with how many pages it passed on, site-wide for a site rule, or pages not recorded for a page rule whose passes name no page. On the HTML report it is one closed line under the findings. JSON gets a passedRules array (ruleId, name, category, scope, pages). A report read …在 GitHub 查看 ↗ -
发布说明摘录
Reports are honest about how much of your site they saw, and the HTML page lets you dismiss every notice. Changed - Summaries keep to one score and the report's own counts. When a report shows its editor's summary (HTML, Markdown, text, XML, JSON, LLM and the console), at most one numeric score survives and /100 never appears, and a sentence that states a page count the report does not have is left out. Older stored summaries get the same treatment. If nothing survives, the summary falls back to the report's own totals instead of going blank. …在 GitHub 查看 ↗