Show HN：谁能向你的 NPM 依赖发布代码？

Who's There? 是一款免费安全工具，可在浏览器中读取项目的 npm lockfile，列出所有能向项目依赖发布代码的人。它会标记攻击者可能接管的账号，包括可被任何人购买的维护者邮箱域名、新维护者、跳过 CI 的发布以及安装时运行的代码。扫描无需账号，用 Google 登录可选，可保存项目、监控变化并接收提醒。