npm 4.8.3

socket.io のOSSカルテ

最終確認 2026年9月15日 02:11

10 観測できた項目

1 確認すべき点

2 データが取得できない項目

socket.io は 2026年9月15日時点で公開されている OSS です。採用前に確かめておきたい点が 1 件あります。採用の可否は、使う版の既知の脆弱性・ライセンス・必要な機能を合わせてご判断ください。

リポジトリとの紐付け

リポジトリ紐付け: 検証済み

パッケージの公開元とリポジトリの結び付きが、公開されている来歴情報から確認できました。

deps.dev の relatedProjects: UNVERIFIED_METADATA, SLSA_ATTESTATION
来歴 SLSA_ATTESTATION により裏付けが取れています

github.com/socketio/socket.io

確認すべき点（1件）

確認すべき Code-Review OpenSSF Scorecard の評価は 0 / 10 です。 ★点が低いことは「危険」ではなく「その項目が確認できていない」を意味することが多くあります。詳しくは解説をご覧ください。読み方

OpenSSF Scorecard の評価

開発プロセスを自動で調べた結果です。 点が低いことは「確認できていない」を意味することが多く、そのまま危険を表すものではありません。 各項目の読み方は解説にまとめています。

Code-Review 0 / 10

CII-Best-Practices 0 / 10

Fuzzing 0 / 10

SAST 0 / 10

Pinned-Dependencies 2 / 10

Token-Permissions 9 / 10

Binary-Artifacts 9 / 10

Dangerous-Workflow 10 / 10

Security-Policy 10 / 10

Maintained 10 / 10

License 10 / 10

Packaging 10 / 10

Branch-Protection 判定不能外部からは確かめられませんでした

Signed-Releases 判定不能外部からは確かめられませんでした

観測した項目

確認できたライセンス MIT として公開されています。実際の利用条件は、リポジトリ内の LICENSE 原文をご確認ください。当サイトは法的な判断をしません。読み方

確認できた既知の脆弱性版 4.8.3 に影響する未修正の Advisory は見つかりませんでした。これは「脆弱性が無い」という意味ではありません。まだ公開されていないものは、ここには出てきません。読み方

確認できたリポジトリとの紐付け github.com/socketio/socket.io と結び付いています。パッケージの公開元とリポジトリの結び付きが、公開されている来歴情報から確認できました。

確認できた直近の更新最後の push は 2026年9月11日です。読み方

確認できたリリース直近のリリースは 2026年9月8日です。読み方

確認できた Dangerous-Workflow OpenSSF Scorecard の評価は 10 / 10 です。読み方

確認できた Security-Policy OpenSSF Scorecard の評価は 10 / 10 です。読み方

確認できた Token-Permissions OpenSSF Scorecard の評価は 9 / 10 です。読み方

データが取得できない Branch-Protection 判定できませんでした（Scorecard が -1 を返しています）。公開スキャンには、リポジトリの設定を読む権限がありません。実際には設定されていても判定できないことがあります。読み方

データが取得できない Signed-Releases 判定できませんでした（Scorecard が -1 を返しています）。公開スキャンには、リポジトリの設定を読む権限がありません。実際には設定されていても判定できないことがあります。読み方

確認できた貢献者 30名の貢献が記録されています。読み方

OpenSSF Scorecard

6.4 / 10

これは OpenSSF が算出した値で、当サイトの評価ではありません。 点が低いことは「危険」ではなく「その項目が確認できていない」を意味することが多くあります。各項目の読み方は指標の読み方にまとめています。
生成日: 2026-09-07

Code-Review Found 2/30 approved changesets -- score normalized to 0 0 / 10

Dangerous-Workflow no dangerous workflow patterns detected 10 / 10

Security-Policy security policy file detected 10 / 10

Maintained 30 commit(s) and 8 issue activity found in the last 90 days -- score normalized to 10 10 / 10

Token-Permissions detected GitHub workflow tokens with excessive permissions 9 / 10

Binary-Artifacts binaries present in source code 9 / 10

CII-Best-Practices no effort to earn an OpenSSF best practices badge detected 0 / 10

License license file detected 10 / 10

Fuzzing project is not fuzzed 0 / 10

Branch-Protection internal error: error during branchesHandler.setup: internal error: some github tokens can... 判定不能

Signed-Releases no releases found 判定不能

SAST SAST tool is not run on all commits -- score normalized to 0 0 / 10

Packaging packaging workflow detected 10 / 10

Pinned-Dependencies dependency not pinned by hash detected -- score normalized to 2 2 / 10

当サイトの観測

直近のリリースからの経過	6 日
リリース間隔の中央値	0 日（直近30件から算出）
記録されている貢献者	30 名（上位30名まで）
最多貢献者の割合	55.1 %

⭐ Stars	63,200

採用前に確認すること

☐ ライセンスを確認した
☐ 使うバージョンの脆弱性を確認した
☐ パッケージとリポジトリの紐付けを確認した
☐ 保守の状態を確認した
☐ 脆弱性の報告先を確認した
☐ 代替手段を確認した
☐ 更新が止まったときの対応を決めた

詳しくは採用前の7項目チェックリストをご覧ください。

出典

ソース	状態
OSV.dev	取得しました
GitHub	取得しました
Open Source Insights (deps.dev)	取得しました
OpenSSF Scorecard	取得しました
Open Source Insights — 版の詳細	取得しました
GitHub — リリース	取得済み（保存していた内容）
GitHub — 貢献者	取得しました

Open Source Insights (deps.dev) が生成したデータは CC-BY 4.0 のもとで利用しています。 OpenSSF Scorecard のスコアは OpenSSF が算出したものです。詳しくはデータの出典をご覧ください。

OSSカルテの見方

サーバーとブラウザの間で双方向の通信を行うライブラリです。 WebSocket を使いつつ、繋がらない環境では別の方式へ自動で切り替えます。再接続、部屋（room）による配信先の分割、名前付きイベント、複数サーバーへの分散をまとめて提供します。

採用を検討するときに迷う点

素の WebSocket との違いは、繋がらないときと切れたときの面倒を見る点です。その代わり、サーバーとクライアントの両方で同じライブラリが要ります。 Socket.IO のサーバーに素の WebSocket クライアントは繋がりません。

静かに壊れる箇所

サーバーを複数台にすると、届かなくなります。 接続は1台に固定されるため、別の台から送ったイベントは届きません。 1台で動かしている間は完全に正しく動きます。 台数を増やした瞬間に、一部の利用者にだけ届かない状態になります。共有の仕組み（アダプタ）が要ります
再接続しても、切れている間のイベントは届きません。 再送の仕組みは自分で用意する必要があります。「たまに抜ける」という形で出るため、原因の特定が難しい部類です
バージョンの互換性が厳しめです。 サーバーとクライアントの世代が違うと繋がりません。 npm の更新でクライアント側だけ上がると、接続だけが失敗します
リバースプロキシの設定が要ります。 Nginx などを前に置く場合、接続を昇格させる設定と、タイムアウトの延長をしないと一定時間で切れます

採用前に確認すること

本当に双方向が必要かを先に考えてください。 サーバーから一方向に流すだけなら Server-Sent Events で足り、仕組みがずっと単純になります。数秒おきの取得で足りる要件もあります。

共用のホスティングでは動かせないことがあります。 常駐するプロセスと、長時間の接続が許されるかを確認してください。

同じ目的のOSSとの関係

素の WebSocket（ws）は依存が小さく、プロトコルも標準のままです。再接続や部屋の管理は自分で書くことになります。

Server-Sent Events はサーバーからの一方向に特化しています。通知や進捗の配信だけなら、これで十分なことが多くあります。 HTTP のままなので、プロキシの設定も単純です。

外部のサービス（Pusher、Ably など）を使えば、接続の維持と分散を任せられます。有料になります。

ポーリング（数秒おきに取得する）は、更新の頻度が低いなら最も単純で、壊れにくい選択です。

ここは当サイトによる説明です。上の観測結果とは分けて表示しています。

リリースと活動の履歴

GitHub が公開している記録から遡ったものです。 当サイトの計測開始より前も含みます。

記録のある最初のリリース: 2016年10月6日; 遡れた 100 件のうち最も古いもの

25 直近12か月のリリース

13日リリース間隔の中央値

プレリリースは数えていません。平均ではなく中央値を出しています（1度だけ間が空いた年があると平均は歪むため）。

年ごとのリリース本数

6 16 9 17 3 18 0 19 6 20 18 21 7 22 6 23 13 24 10 25 18 26

最も多い年で 18 本。 本数の多さは、そのまま良し悪しを表しません。 細かく出す方針のプロジェクトと、まとめて出す方針のプロジェクトがあります。

週ごとのコミット数（直近52週）

合計 145 コミット / 最も多い週で 20 コミット。 GitHub の集計によるもので、マージコミットの扱いなど数え方は GitHub に従います。

当サイトでの観測の記録

当サイトでの計測開始: 2026年8月31日; 15日ぶん / 18回の観測

観測した変化

2026年8月31日
- 初回の観測

記録が短いため、推移のグラフは表示していません。

OpenSSF Scorecard のスコアと脆弱性情報の状態は、 当サイトの計測開始より前には遡れません。 公開元が過去の値を残していないためです。リリース日や最終コミット日など、上の観測結果に出ている日付は GitHub などの記録によるもので、計測開始より前のものも含みます。

同じ目的のOSS

express 同じサーバーに載せることが多い

socket.io のOSSカルテ

リポジトリとの紐付け

確認すべき点（1件）

OpenSSF Scorecard の評価

観測した項目

OpenSSF Scorecard

当サイトの観測

人気

採用前に確認すること

出典

採用を検討するときに迷う点

静かに壊れる箇所

採用前に確認すること

同じ目的のOSSとの関係

リリースと活動の履歴

年ごとのリリース本数

週ごとのコミット数（直近52週）

当サイトでの観測の記録

観測した変化

同じ目的のOSS

別のOSSを調べる