JsOwl — JavaScript 信息收集与敏感信息扫描器
JsOwl 是一个使用 Go 编写的高性能 JavaScript 信息收集与安全分析工具，同时也是一个可复用的 Go 库。它自动收集目标站点的页面、JavaScript、Webpack/RequireJS chunk 与 SPA 运行时资源，通过正则与 AST（Tree-sitter）提取 API 端点、参数、路由和敏感信息（密钥、Token、身份证、内网 IP 等），并生成 JSON 与自包含的交互式 HTML 报告——是 Web 安全测试、渗透测试信息收集阶段和攻击面梳理的自动化利器。
免责声明：仅可用于已获得明确授权的安全测试环境。报告会保留完整敏感值，请严格限制访问并妥善清理。
核心能力
快速开始
需要 Go 1.25+ 与 C 编译器（JavaScript AST 使用 Tree-sitter，必须启用 CGO）：
git clone https://github.com/youmulijiang/jsowl.git
cd jsowl
go build -o jsowl ./cmd/jsowl
扫描一个目标：
jsowl -u https://example.com # 基础扫描
jsowl -u https://example.com -m browser # 强制浏览器渲染模式
jsowl -u https://example.com --login # 手动登录后带会话扫描
jsowl --login # 不指定 URL：打开浏览器自行导航，登录后扫描当前页
jsowl -u https://example.com --aff # 开启运行时自动填表与交互
jsowl -l targets.txt -o reports # 批量目标 + 自定义输出目录
jsowl --check # 检查配置、规则与本地浏览器
扫描完成后在 jsowl-report/example.com/ 下生成 report.html（交互式总览入口）、report.json 与分项报告。
示例输出
https://example.com/ [18240] [200] [text/html; charset=utf-8]
[200] GET https://api.example.com/v2/user/info [runtime]
jsowl-report/
└── example.com/
├── report.html # 交互式总览 + 分项报告导航
├── report.json # 完整 JSON 结果
├── API报告.html / url.txt / 敏感信息.txt ...
└── js/ # 下载保存的脚本与 chunk
文档
生态
- HaE — 规则格式来源，直接复用其规则库文件
- Rod — 浏览器自动化
- Tree-sitter — JavaScript AST 解析
- 自动填表算法适配自 projectdiscovery/katana（MIT）
