Repomix 隐私政策技术解读CLI 本地处理、网站临时上传与浏览器扩展的最小权限设计【免费下载链接】repomix Repomix is a powerful tool that packs your entire repository into a single, AI-friendly file. Perfect for when you need to feed your codebase to Large Language Models (LLMs) or other AI tools like Claude, ChatGPT, DeepSeek, Perplexity, Gemini, Gemma, Llama, Grok, and more.项目地址: https://gitcode.com/GitHub_Trending/rep/repomixRepomix 是一款将整个代码仓库打包为单一 AI 友好文件的工具常用于将代码库喂给 Claude、ChatGPT、DeepSeek 等大语言模型。由于它天然需要读取整个仓库的内容用户最关心的问题就是我的代码到底去了哪里本文基于仓库官方隐私政策文档俄文版、英文版结合 CLI、网站服务端与浏览器扩展的源码实现逐层拆解 Repomix 在数据收集、网络使用、临时文件处理与权限申请四个维度的真实行为帮助你判断在私有仓库、敏感项目场景下使用 Repomix 的风险边界。三个组成部分三种数据策略Repomix 由三部分组成它们的隐私策略并不相同不能一概而论组成部分数据收集网络使用适合场景CLI 命令行工具不收集、不传输、不存储任何用户数据、遥测或仓库信息安装后完全离线私有与内部仓库官网打包站点通过 Google Analytics 收集页面浏览与交互数据在线处理上传的 ZIP/文件夹快速体验接受临时上传浏览器扩展不收集任何数据仅在 GitHub 仓库页注入按钮日常打包 GitHub 仓库下文分别从源码层面验证这三条策略是否名副其实。CLI 工具完全本地的数据边界安装后零网络请求隐私政策明确声明CLI 工具不收集、不传输、也不存储任何用户数据、遥测或仓库信息安装之后完全离线运行。唯一需要联网的三种情况是通过 npm/yarn 安装使用--remote标志处理远程仓库参见远程仓库处理指南手动触发的更新检查。换言之repomix打包本地目录这一主流程是一条纯本地链路读取文件 → 处理 → 生成输出文件全程没有遥测上报点。仓库中的src/core/file/fileProcessorRun.ts、src/packager.ts等打包管线源码均只涉及本地文件读写与输出生成不存在任何网络上报逻辑与文档声明一致。私有仓库安全性的底层支撑所有处理均在本地进行意味着私有仓库、内部代码库的内容不会离开你的机器——前提是你不使用--remote。如果你确实需要处理远程仓库则仓库内容会先被克隆到本地临时目录再打包此时网络与磁盘行为由远程仓库处理流程约束。本地敏感信息检测出包前的最后一道闸隐私政策将敏感数据检测指向安全页面。这一能力在源码中有扎实实现Repomix 集成 Secretlint在打包前对文件内容执行安全检查。安全检测的入口在 securityCheck.ts其工作方式值得注意检测对象不止是普通文件除常规文件外还会把 Git 工作区变更git diff、暂存区变更与 Git 提交历史git log纳入检测范围见 securityCheck.ts防止敏感信息藏在提交历史中被带出检测规则由 Secretlint 预设提供实际扫描在 securityCheckWorker.ts 中通过secretlint/secretlint-rule-preset-recommend完成覆盖 API Key、访问令牌、凭据、私钥、环境变量等常见泄露类型检测结果不落日志命中敏感项时仅记录文件路径与问题数量不记录实际消息内容以防止泄露敏感信息见 securityCheckWorker.ts这一细节与隐私政策不存储仓库信息的承诺互为印证。从源码结构看安全检测默认开启可通过--no-security-check参数或配置文件中security.enableSecurityCheck: false关闭见安全页面。对于处理私有仓库的用户建议保持默认开启作为本地出包前的一层保险。官方网站透明的数据分析与即用即删的文件生命周期官方网站repomix.com提供在线打包体验用户上传 ZIP 或文件夹即可获得打包结果。这里的数据行为与 CLI 有本质区别但文档对每一点都做了明确交代。Google Analytics只收集交互行为网站使用Google Analytics收集页面浏览与用户交互数据用于理解网站使用方式并改进体验。前端事件埋点定义在 analytics.ts事件被划分为repository、format、options、output四个类别动作包括pack_start、pack_success、copy_output、download_output等——这些都属于界面交互统计而非仓库内容上报。更关键的是埋点层面对仓库标识做了隐私归一化处理normalizeRepoLabel函数会剥离 URL 中的查询参数、hash 与凭据信息并把输入规范化为github:owner/repo、gist:...、external:host这类稳定标签见 analytics.ts。这意味着即便你通过 URL 输入仓库地址发送给分析平台的也只是规范化后的主机/仓库标签而不是可能包含 token 或私有主机名的原始 URL。这是官方文档之外、从源码中可以确认的隐私设计细节。文件处理临时存储处理完即删上传 ZIP 或文件夹后文件会临时存储在服务器上用于处理文档承诺所有上传文件与处理后的数据在处理完成时立即自动删除。服务端实现印证了这一承诺。processZipFile.ts 展示了完整的生命周期为每次上传创建独立临时目录createTempDirectory解压并打包处理无论成功还是失败都在finally块中执行cleanupTempDirectory清理临时目录并fs.unlink删除生成的输出文件见 processZipFile.ts。该文件还明确注释上传的 ZIP 从不缓存——每次上传都是唯一的负载见 processZipFile.ts与远程仓库URL 选项可构成缓存键形成对比。此外服务端对上传归档还实施了多层安全校验文件数量上限、解压后总大小上限、压缩比检测防 ZIP 炸弹、路径遍历检测、路径长度与目录嵌套深度限制、重复路径检测防 ZipSlip 攻击等见 processZipFile.ts。隐形模式 Turnstile无感的人机校验英文版隐私政策还补充了一点俄文版未提及的信息网站使用Cloudflare Turnstile隐形模式保护打包表单免受自动化滥用。Turnstile 在后台运行可能收集浏览器与网络信号来完成校验但不展示验证码。前端实现位于 useTurnstile.ts它负责 widget 生命周期与一次性令牌铸造服务端则在打包请求执行前通过 turnstile 中间件验证令牌。本地开发环境默认使用 Cloudflare 的永远通过测试密钥生产部署则需配置真实密钥。浏览器扩展最小权限原则的实践样本浏览器扩展browser/ 目录的隐私声明与 CLI 一致不收集、不传输、不存储任何用户数据、遥测或仓库信息仅申请在 GitHub 仓库页面添加 Repomix 按钮所需的最小权限。这一声明可以直接对照扩展清单验证。wxt.config.ts 中的权限声明极其克制permissions: [scripting], host_permissions: [https://github.com/*]即只有scripting权限 仅针对 GitHub 域名的宿主权限没有tabs、storage、history等任何可能触及用户数据的权限。背景脚本 background.ts 也只在 URL 以https://github.com/开头时才注入内容脚本非 GitHub 页面完全跳过。按钮的插入位置由 github-navigation.ts 定位兼容 GitHub 新旧两代仓库头部结构整个过程只做 DOM 层面的按钮注入不读取也不修改仓库内容。从权限面来看扩展不访问或修改仓库数据的声明与实际实现一致。免责声明输出结果的使用责任归属最后隐私政策附有一项免责声明RepomixCLI、网站与浏览器扩展按现状提供不附带任何明示或默示的保证项目方不对生成输出的使用方式负责包括其准确性、合法性以及使用可能产生的任何潜在后果。这提醒用户两件事其一Repomix 负责把仓库打包成文件但不为打包结果被如何使用例如是否违反目标服务的条款、是否泄露不应外传的内容背书其二即便本地处理最终产物——那份包含完整仓库代码的打包文件——如何分发、如何保管责任仍在用户自己。小结按场景选择你的数据策略结合官方文档与源码证据可以给出如下使用建议处理私有或内部仓库优先使用 CLI 本地打包。安装后流程完全离线本地安全检测Secretlint默认开启可拦截 API Key、私钥等敏感信息进入输出文件快速体验或处理公开仓库可使用官网在线打包但需知晓文件会上传至服务器临时处理处理完即删且页面交互行为会被 Google Analytics 统计日常打包 GitHub 仓库浏览器扩展是最低侵入方案权限仅限scripting与 GitHub 域名不读取仓库数据。Repomix 的三条产品线给出了三种清晰的数据策略——CLI 的零上报、网站的透明统计 即用即删、扩展的最小权限——且每一种都能在仓库源码中找到对应实现作为佐证。理解这些边界是你决定敢不敢把代码交给 Repomix的前提。延伸阅读本文提及的官方文档均位于 website/client/src/ru/guide/ 与 website/client/src/en/guide/ 目录其中远程仓库处理与安全检测两篇与本文互为补充服务端临时文件生命周期可进一步阅读 processZipFile.ts 与 remoteRepo.ts。【免费下载链接】repomix Repomix is a powerful tool that packs your entire repository into a single, AI-friendly file. Perfect for when you need to feed your codebase to Large Language Models (LLMs) or other AI tools like Claude, ChatGPT, DeepSeek, Perplexity, Gemini, Gemma, Llama, Grok, and more.项目地址: https://gitcode.com/GitHub_Trending/rep/repomix创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考