用途：在安装前筛查候选包名，识别拼写错误、品牌仿冒与域名抢注（typosquatting）类恶意包，覆盖 npm、PyPI、crates.io。属于防御性软件供应链安全，仅限授权范围内使用；大规模自动抓取注册表可能违反其服务条款。
主要能力：用攻击者常用的名称变异原语（重复字符、省略字符、字符换位、词序调换、键盘邻近错拼、同音/元音替换、版本或后缀技巧、分隔符替换、作用域混淆）生成候选抢注名，并与流行/已知良好包名语料比对，标记近似名；再用注册表元数据（创建时间、下载量、维护者、安装脚本）富化并评分，抑制合法分叉或作用域包等误报。
工具与用法：typomania（Rust Foundation，crates.io 在用）可构建后运行示例；OSSGadget 的 oss-find-squats 支持 purl 语法跨生态查询，如 oss-find-squats pkg:npm/lodash；pypi-scan 用于枚举 PyPI 抢注，如 python pypi_scan.py -p requests；ecosyste-ms typosquatting-dataset 提供已知抢注真值语料。可下载 top-pypi-packages 等流行名语料，并用 curl 查询注册表元数据与下载量。
适用场景：新增依赖前筛查、CI/CD 门禁、审查 AI 生成或教程来源的依赖列表（slopsquatting）、锁文件差异安全审查、注册表或代理侧拦截。
限制：需 Rust 工具链或预编译 OSSGadget、Python 3.8+ 及注册表网络访问；需自备流行名语料；确认恶意意图须在沙箱/虚拟机中检查安装脚本与源码包，切勿在工作机执行 npm install 或 pip install 可疑包。对应 MITRE ATT&CK T1195.002。