HailBytes/mcp-security-scanner

# @hailbytes/mcp-security-scanner 官方的 [](https://www.npmjs.com/package/%40hailbytes%2Fmcp-security-scanner) [](https://www.npmjs.com/package/@hailbytes/mcp-security-scanner) [](LICENSE) [](https://bundlephobia.com/package/@hailbytes/mcp-security-scanner) ## 功能 审计 MCP 服务器配置和端点，以发现最常见的 AI 安全错误——过度授权的工具、缺失的身份验证、提示词注入攻击面以及不安全的传输默认设置。可作为门禁集成到 CI/CD 中，或通过 CLI 按需运行。 ## 安装 ``` npm install -g @hailbytes/mcp-security-scanner # 或通过 npx 直接使用 npx @hailbytes/mcp-security-scanner ./mcp-config.json ``` ## 快速开始 ### CLI ``` # 扫描本地 config 文件 npx @hailbytes/mcp-security-scanner ./mcp-config.json # 扫描运行中的 MCP server 端点 npx @hailbytes/mcp-security-scanner https://my-mcp-server.example.com # 输出 SARIF 用于 GitHub Code Scanning，发现问题时失败 npx @hailbytes/mcp-security-scanner ./config.json --output=sarif --exit-code ``` ### 编程接口 ``` import { scan } from "@hailbytes/mcp-security-scanner"; const report = await scan({ configPath: "./mcp-config.json" }); console.log(report.findings); // Finding[] — individual security issues console.log(report.score); // 0–100 risk score (lower = riskier) console.log(report.passed); // boolean — use as CI gate ``` ## 检查内容 - **过度授权的工具** — 工具被授予超出其声明功能所需范围的权限 - **缺失或弱身份验证** — 未经身份验证的传输、缺少令牌验证 - **提示词注入面** — 工具描述或输出路径易受注入攻击 - **不安全的默认值** — 不安全的传输默认设置、冗长错误暴露、CORS 通配符 ## 另请参阅 - [`@hailbytes/mcp-server-template`](https://github.com/HailBytes/mcp-server-template) — 内置身份验证的生产就绪 MCP 服务器脚手架 - [HailBytes MCP 文档](https://hailbytes.com/mcp) *属于 [HailBytes](https://hailbytes.com) 开源安全工具包的一部分。*

标签：AI应用安全, DevSecOps, GNU通用公共许可证, MCP安全扫描器, MITM代理, Node.js, npm, SARIF输出, 上游代理, 人工智能安全, 合规性, 安全扫描工具, 开源框架, 持续集成, 提示注入防护, 数据可视化, 暗色界面, 服务器配置审计, 权限管理, 模型上下文协议安全, 模型越狱, 网络安全, 自动化攻击, 认证安全, 配置安全分析, 隐私保护, 默认配置安全