uunw/h1mcp
GitHub: uunw/h1mcp
用 Rust 构建的 HackerOne MCP 服务器，将完整的 HackerOne API 和本地草稿管理能力以 MCP 工具形式暴露给 AI 客户端，让白帽黑客通过对话驱动整个漏洞赏金工作流。
Stars: 0 | Forks: 0
# h1mcp — HackerOne MCP Server
[](https://github.com/uunw/h1mcp/releases)
[](https://github.com/uunw/h1mcp/actions/workflows/docker.yml)
[](https://github.com/uunw/h1mcp/pkgs/container/h1mcp)
[](https://www.rust-lang.org/)
[](./LICENSE)
**h1mcp** 是一个使用 Rust 编写的 [HackerOne](https://hackerone.com) [MCP (Model Context Protocol)]( 创建 HackerOne API token。该页面上显示的 **API username** 用于 HTTP Basic 认证（`username:token`）。
```
H1_USERNAME=your_hackerone_username
H1_API_KEY=your_api_key
```
### Docker（推荐）
直接从 GitHub Container Registry 拉取并运行：
```
docker pull ghcr.io/uunw/h1mcp
docker run --rm -i -e H1_USERNAME=... -e H1_API_KEY=... ghcr.io/uunw/h1mcp
```
或在本地构建：
```
docker build -t h1mcp .
```
### 手动构建
```
cargo build --release
./target/release/h1mcp
```
### Claude Desktop 配置
添加到 `~/Library/Application Support/Claude/claude_desktop_config.json`：
**Docker（推荐）：**
```
{
"mcpServers": {
"hackerone": {
"command": "docker",
"args": ["run", "--rm", "-i", "-e", "H1_USERNAME", "-e", "H1_API_KEY", "ghcr.io/uunw/h1mcp"],
"env": {
"H1_USERNAME": "your_username",
"H1_API_KEY": "your_api_key"
}
}
}
}
```
**二进制文件：**
```
{
"mcpServers": {
"hackerone": {
"command": "/path/to/h1mcp",
"env": {
"H1_USERNAME": "your_username",
"H1_API_KEY": "your_api_key"
}
}
}
}
```
### Claude Code (CLI)
```
# user scope (在所有项目中可用)
claude mcp add --scope user \
--env H1_USERNAME=your_username \
--env H1_API_KEY=your_api_key \
h1mcp -- docker run --rm -i -e H1_USERNAME -e H1_API_KEY ghcr.io/uunw/h1mcp
# project scope (提交至 .mcp.json，与团队共享)
claude mcp add --scope project \
--env H1_USERNAME=your_username \
--env H1_API_KEY=your_api_key \
h1mcp -- docker run --rm -i -e H1_USERNAME -e H1_API_KEY ghcr.io/uunw/h1mcp
```
验证：`claude mcp list`
## 草稿工作流
```
draft_report → get_draft → update_draft → submit_draft
```
草稿以 JSON 文件的形式存储在 `~/.config/h1mcp/drafts/` 中。
## 工作原理
h1mcp 与位于 `https://api.hackerone.com/v1/hackers/` 下的 HackerOne **hacker API** 进行通信，使用 HTTP Basic 认证（`H1_USERNAME:H1_API_KEY`）。响应会在进程内进行短暂缓存，并且对于速率限制（`429`）和服务器错误，会通过退避策略进行重试。
工具输出针对 LLM token 成本进行了优化：结果会剔除 null 字段、空容器和头像 URL，然后序列化为紧凑（非美化）的 JSON。
## 许可证
[MIT](./LICENSE)
标签：API集成, MCP, Rust, 可观测性, 可视化界面, 漏洞悬赏, 网络流量审计, 网络调试, 自动化, 请求拦截, 通知系统