Repomix 隐私政策全解析CLI、官网与浏览器扩展的数据处理边界与安全责任【免费下载链接】repomix Repomix is a powerful tool that packs your entire repository into a single, AI-friendly file. Perfect for when you need to feed your codebase to Large Language Models (LLMs) or other AI tools like Claude, ChatGPT, DeepSeek, Perplexity, Gemini, Gemma, Llama, Grok, and more.项目地址: https://gitcode.com/GitHub_Trending/rep/repomixRepomix 是一套把整个代码仓库打包为单个 AI 友好文件的工具它同时提供命令行工具CLI、在线打包网站和浏览器扩展三种使用形态。本篇基于官方隐私政策文档逐条拆解这三种形态各自收集什么数据、在什么情况下联网、文件在哪里被处理并结合仓库源码核实每一条声明的实现细节帮助你判断 Repomix 是否适合处理私有代码、内部仓库以及包含敏感信息的项目。Repomix CLI完全本地处理零数据采集隐私政策中关于 CLI 的第一条声明非常明确Repomix CLI 不收集、不传输、也不存储任何用户数据、遥测信息或仓库信息。这意味着打包、Token 计数、敏感信息检测等全部计算都发生在本机代码内容不会离开你的机器。唯一的三种联网场景安装阶段通过 npm / yarn 安装 Repomix 包时会产生网络流量远程仓库处理使用--remote参数处理 GitHub 远程仓库时需要联网下载仓库内容手动触发更新检查检查新版本属于主动行为默认不会自动发生。除此之外CLI 在安装完成后可以完全离线工作fully offline。源码佐证本地处理链条从仓库源码结构看CLI 的所有核心流程均在本机完成src/core/file/fileCollect.ts 负责收集文件、src/core/file/fileProcess.ts 负责处理、src/core/output/outputGenerate.ts 负责生成输出。这些模块都不存在任何网络调用唯一涉及网络的路径集中在 src/core/git/ 目录对应--remote的远程仓库下载与 git 操作。安全推论适合处理私有与内部仓库由于所有处理都在本地进行隐私政策明确指出Repomix CLI 对私有仓库和内部仓库是安全的。不过需要留意两个前提敏感信息检测是默认开启的Repomix 内置基于 Secretlint 的安全检查默认扫描 API 密钥、访问令牌、凭据、私钥、环境变量等敏感内容并将可疑文件从输出中排除。可用repomix --no-security-check或在repomix.config.json中设置security: { enableSecurityCheck: false }关闭详见 安全文档。--remote会让你的机器访问外部仓库处理远程仓库时会下载第三方代码并在本地执行解析逻辑相关信任模型见下文远程仓库处理的网络与信任边界。Repomix 官网Google Analytics 统计与 Cloudflare Turnstile 反机器人Repomix 网站repomix.com与 CLI 的数据策略完全不同——它作为在线服务会收集有限的访问数据Google Analytics页面浏览与交互统计官网使用Google Analytics收集页面浏览和用户交互等使用数据目的是了解网站的使用方式并改进体验。源码中可以找到对应的埋点实现analytics.ts 中定义了analyticsUtils工具通过window.gtag(event, action, ...)上报事件文件注释明确写着 Track an event using gtag并为window.gtag提供了 TypeScript 类型声明。这说明前端事件确实经由 gtag 发送给 Google Analytics与隐私政策描述一致。Cloudflare Turnstile隐形模式反机器人为了阻止自动化脚本滥用打包表单Pack form官网使用Cloudflare Turnstile 的隐形模式进行人机验证。Turnstile 在后台运行会收集浏览器和网络信号用于校验但不向用户展示 CAPTCHA 验证码对正常用户体验无感。源码佐证useTurnstile.ts、useTurnstileScript.ts、turnstileSubmit.ts 等组合式函数composables组成了完整的 Turnstile 集成加载 Turnstile 脚本、获取 token、在提交时随请求发送并在服务端校验。服务端一侧则有 turnstile.ts 中间件负责校验配合 rateLimit.ts 等机制共同防护。文件处理临时存储处理完立即删除当你在官网上传 ZIP 文件或文件夹进行打包时文件会被临时存储在服务器上用于处理。隐私政策强调所有上传文件和已处理的数据会在处理完成后立即自动删除。源码佐证服务端打包流程位于 packAction.ts其内部调用 processZipFile.ts。后者在try块中处理完毕后于finally块中执行cleanupTempDirectory(tempDirPath)清理临时目录——无论处理成功还是失败临时文件都会被清理。也就是说上传的数据在服务器上只存在于处理进行中这个短暂窗口内不会留存、不会入库。Repomix 浏览器扩展最小权限不读取仓库数据浏览器扩展的隐私声明与 CLI 一致不收集、不传输、不存储任何用户数据、遥测信息或仓库信息。它唯一的用途是在 GitHub 仓库页面上添加一个Repomix按钮将当前仓库跳转到官网进行打包。最小权限的源码证据扩展的 manifest 配置位于 wxt.config.ts权限清单非常克制permissions仅含scripting用于在标签页中注入内容脚本host_permissions仅为https://github.com/*扩展只在 GitHub 域下工作无权访问其他站点图标资源通过web_accessible_resources按https://github.com/*限定范围暴露。内容脚本的行为边界扩展的实际行为进一步印证不访问、不修改仓库数据的声明。content.ts 只做了三件事从window.location.pathname中用正则/^\/([^/])\/([^/])/提取owner和repo即 GitHub 用户名与仓库名拼接出https://repomix.com/?repo...的跳转链接调用 findNavigationContainer 找到 GitHub 仓库导航栏将按钮插入其中。整个过程只读取 URL 路径中的两个字段不读取任何文件内容、不注入表单、不监听网络请求也不修改仓库数据。按钮点击后在新标签页打开官网由官网执行打包——隐私边界与官网条款一致。远程仓库处理的网络与信任边界虽然隐私政策没有展开讲述但CLI 需要联网的三种场景中提到的--remote值得一提——它是理解 Repomix 数据处理边界的关键扩展点详见 远程仓库处理文档。# 使用完整 URL repomix --remote https://github.com/user/repo # 使用 GitHub 简写 repomix --remote user/repo当你使用--remote时Repomix 会下载远程仓库到本机通过 src/core/git/gitHubArchive.ts 等实现下载后仍在本地完成打包——仓库内容不会上传到 Repomix 的任何服务器默认情况下远程仓库自带的repomix.config.*配置文件不会被加载防止不可信的第三方仓库通过配置文件如repomix.config.ts这类会被执行的代码在你的机器上运行任意命令若你确实需要信任远程仓库的配置必须显式传入--remote-trust-config参数或设置REPOMIX_REMOTE_TRUST_CONFIGtrue并在交互式终端中逐行确认将要运行的配置内容详见 安全文档的远程配置信任章节。对隐私而言这条机制的意义在于--remote的方向是拉取而非上传——第三方代码进入你的机器而不是你的代码离开你的机器。本地敏感信息检测隐私保障的最后一道防线隐私政策引用了 安全文档 说明敏感数据检测机制。既然 CLI 不收集任何数据那它如何帮助你避免把密钥打包进输出文件答案是完全在本机完成扫描内置Secretlint规则扫描 AWS 凭据、数据库连接串、认证令牌、私钥、环境变量等常见敏感内容检测到可疑文件时会将其排除在输出之外并打印提示例如 Security Check: ────────────────── 2 suspicious file(s) detected and excluded: 1. config/credentials.json - Found AWS access key 2. .env.local - Found database password实现层面扫描逻辑位于 src/core/security/securityCheck.ts与 src/core/security/workers/securityCheckWorker.ts 协作在 worker 线程中执行。所有检测均发生在本地内存与本地文件中不产生任何外发流量。责任声明按原样提供隐私政策最后明确了 Repomix 的责任边界RepomixCLI 工具、网站和浏览器扩展按原样提供不含任何明示或暗示的担保。项目方不对生成输出的使用方式承担责任包括但不限于其准确性、合法性或使用带来的任何潜在后果。这意味着打包结果的准确性与合规性最终由使用者自行把关。即使有 Secretlint 安全检测和隐私保障共享输出文件前仍建议人工复核尤其是包含敏感路径或第三方代码的项目。总结三种形态的隐私要点速查使用形态是否收集数据何时联网数据流向Repomix CLI不收集、不传输、不存储仅安装、--remote、手动更新检查全程本地处理代码不离开机器Repomix 官网收集页面浏览与交互Google Analytics使用即联网上传的 ZIP/文件夹临时存储处理完立即删除processZipFile.ts 的finally清理浏览器扩展不收集、不传输、不存储仅在 GitHub 页面加载时注入脚本只读取 URL 中的owner/repo用于拼接跳转链接content.ts对开发者而言最核心的结论是只要使用本地 CLI 模式或--remote打包你的代码始终留在自己机器上官网模式适合公开或低敏感项目而浏览器扩展仅承担跳转入口角色权限被严格限制在https://github.com/*之内。在把任何包含密钥、凭据或内部架构信息的仓库交给 AI 工具之前务必先开启默认的安全检查并检查生成输出中是否残留敏感内容。【免费下载链接】repomix Repomix is a powerful tool that packs your entire repository into a single, AI-friendly file. Perfect for when you need to feed your codebase to Large Language Models (LLMs) or other AI tools like Claude, ChatGPT, DeepSeek, Perplexity, Gemini, Gemma, Llama, Grok, and more.项目地址: https://gitcode.com/GitHub_Trending/rep/repomix创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考