Collez package.json pour lister les sections de dépendances, les scripts, les engines et le packageManager, et voir quelles versions sont sans borne ou référencées hors registre. L’outil lit uniquement le manifeste : il n’installe rien, n’exécute aucun script, ne résout aucune version et n’interroge aucun registre.
Fonctionne localement dans votre navigateurCollez un manifeste package.json puis cliquez sur Analyser localement. Le texte est lu par l’analyseur JSON du navigateur : rien n’est installé, aucun script n’est exécuté, aucun registre n’est interrogé et le manifeste ne quitte pas la page.
Le Rapport du paquet affiche un résumé name, version, packageManager, engines, dependencyCounts et scripts, trois tuiles pour le nombre de dépendances, de scripts et la présence d’un gestionnaire de paquets, puis une liste qui nomme chaque dépendance signalée avec la version telle qu’elle est écrite.
Les quatre sections de dépendances — dependencies, devDependencies, peerDependencies et optionalDependencies — sont lues dans cet ordre, avec scripts. Un paquet présent dans deux sections apparaît deux fois, une fois par section.
Le résumé reprend le décompte par section et les noms de champs du manifeste lui-même, ce qui permet de le comparer au fichier collé. Tout est affiché tel que déclaré : les plages ne sont pas développées, les versions ne sont pas résolues et aucun champ n’est réécrit.
« * » et « latest » sont signalés comme versions sans borne, et les références hors registre ou vers un workspace (github:, https:, git+, file:, workspace:, link:, portal:) sont signalées pour vérification. Une plage engines.node absente, une licence absente et une section qui n’est pas un objet sont également signalées ; cette dernière est en plus ignorée.
Les plages avec caret, tilde ou comparaison comme ^1.2.3, ~1.2.0, >=1 <2 ou 1.x ne sont pas signalées — elles sont bornées par leur propre syntaxe — et un alias npm: compte comme une référence au registre. Rien n’est comparé à la dernière version publiée.
L’inspecteur ne lit que le texte du manifeste. Il n’installe aucun paquet, n’exécute aucun script, ne résout aucune version, ne lit aucun lockfile (l’analyseur de lockfile s’en charge) et ne cherche pas de vulnérabilités.
Il ne valide pas non plus le manifeste contre le schéma npm : les champs overrides, resolutions ou workspaces ne sont pas inspectés, et le JSON doit être strict — les commentaires et les virgules finales sont refusés avec le message de l’analyseur.