# jsluice JavaScript 静态提取工具 > Bishop Fox 推出的 Go 库与命令行工具，借助 tree-sitter 解析 JavaScript，还原脚本所调用的接口地址；它依据代码如何使用某个值来判断，而不仅仅依靠正则表达式。URL 提取会跟踪 location 赋值、window.open、fetch、XMLHttpRequest 和 jQuery 请求调用，保留 HTTP 方法、请求头以及查询或请求体参数，并以占位符代替只有运行时才能确定的值。其他模式可标记形似凭据的值、打印语法树、运行 tree-sitter 查询以及格式化压缩代码。 - 类型：工具 - 目标：网站 - 类别：网站分析工具 - 关联：基础工具 - 来源复核于：2026-10-19 - 收录于：2026-10-30 - 原始资源： - 一手来源： - 目录页面： - 记录 JSON： - 英文版：[English](https://awesomerea.org/resources/jsluice/index.md) ## 使用条件与局限 - 该项目不发布任何版本或标签：README 通过 go install 安装命令行工具，通过 go get 引入软件包。go.mod 声明 Go 1.18，并固定 go-tree-sitter、goquery、jsbeautifier-go 和一个 WARC 读取库的版本。所审阅的 main 提交日期为 2024-01-10；仓库包含 Go 单元测试和 JavaScript 测试样例，但没有 CI 工作流。 - 输入可以是 JavaScript 文件、会从中提取内联脚本的 HTML 页面、WARC 归档、通过标准输入传入的原始源码，或可附带 Cookie 和请求头抓取的 http(s) URL；输出为 JSONL。分析是静态的：拼接进来的运行时值显示为 EXPR 或自定义占位符，README 也承认这种方法并非万无一失，因此提取出的接口只是需要对照应用核实的线索。 - secrets 模式内置的有效匹配器只覆盖 AWS、GCP 和 GitHub 密钥格式以及 Firebase 配置对象，另可加载用户提供的 JSON 模式文件；README 示例表明，未加锚点的自定义模式会匹配到意料之外的值。匹配结果只是模式命中，并非已确认的凭据。 - 采用 MIT 许可，版权归 Bishop Fox（2023）。 ## 一手来源 1. 2. 3. 4. 5. 6. 7. ## 同分区更多条目：网站 - [REstringer JavaScript 反混淆工具](https://awesomerea.org/zh/resources/restringer/index.md) · 工具 - [CRX Viewer 浏览器扩展源码查看器](https://awesomerea.org/zh/resources/crxviewer/index.md) · 工具 - [har-to-openapi：从 HAR 抓包推断 OpenAPI 文档](https://awesomerea.org/zh/resources/har-to-openapi/index.md) · 工具 - [decode-js JavaScript 反混淆 AST 工具](https://awesomerea.org/zh/resources/decode-js/index.md) · 工具 - [javascript-deobfuscator Obfuscator.io 字符串还原网页工具（LostMyCode）](https://awesomerea.org/zh/resources/lostmycode-javascript-deobfuscator/index.md) · 工具 - [minusone 脚本去混淆引擎](https://awesomerea.org/zh/resources/minusone-script-deobfuscator/index.md) · 工具 ## 关于此条目 说明已依据一手来源复核。 原创说明采用 MIT 许可；外部项目、论文与素材保留各自的权利和许可。