Security Audit Tool

セキュリティ監査ツール

npm パッケージの依存関係にセキュリティ上の脆弱性がないかを監査する、強力な MCP（Model Context Protocol）サーバーです。リアルタイムのセキュリティチェックを実現するため、npm レジストリとのリモート連携を備えています。

機能

• 🔍 リアルタイムのセキュリティ脆弱性スキャン
• 🚀 npm レジストリとのリモート連携
• 📊 重要度レベルを含む詳細な脆弱性レポート
• 🛡️ 複数の重要度レベル（critical、high、moderate、low）に対応
• 📦 npm／pnpm／yarn のパッケージマネージャーに対応
• 🔄 自動修正の推奨
• 📋 CVSS スコアと CVE 参照情報

Smithery 経由でのインストール

Smithery 経由で Security Audit Tool を Claude Desktop に自動インストールするには：

npx -y @smithery/cli install @qianniuspace/mcp-security-audit --client claude

MCP との連携

オプション 1：NPX を使用（推奨）

1. Cline／Cursor に MCP の設定を追加します：

{
  "mcpServers": {
    "mcp-security-audit": {
      "command": "npx",
      "args": ["-y", "mcp-security-audit"]
    }
  }
}

オプション 2：ソースコードをダウンロードして手動で設定

1. リポジトリをクローンします：

git clone https://github.com/qianniuspace/mcp-security-audit.git
cd mcp-security-audit

2. 依存関係をインストールしてビルドします：

npm install
npm run build

3. Cline／Cursor に MCP の設定を追加します：

{
  "mcpServers": {
    "mcp-security-audit": {
      "command": "npx",
      "args": ["-y", "/path/to/mcp-security-audit/build/index.js"]
    }
  }
}

設定のスクリーンショット

Cursor の設定

Cline の設定

API レスポンス形式

このツールは、重要度レベル、修正の推奨事項、CVSS スコア、CVE 参照情報など、詳細な脆弱性情報を提供します。

レスポンス例

1. 脆弱性が見つかった場合（Severity-response.json）

{
  "content": [{
    "vulnerability": {
      "packageName": "lodash",
      "version": "4.17.15",
      "severity": "high",
      "description": "Prototype Pollution in lodash",
      "cve": "CVE-2020-8203",
      "githubAdvisoryId": "GHSA-p6mc-m468-83gw",
      "recommendation": "Upgrade to version 4.17.19 or later",
      "fixAvailable": true,
      "fixedVersion": "4.17.19",
      "cvss": {
        "score": 7.4,
        "vector": "CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N"
      },
      "cwe": ["CWE-1321"],
      "url": "https://github.com/advisories/GHSA-p6mc-m468-83gw"
    },
    "metadata": {
      "timestamp": "2024-04-23T10:00:00.000Z",
      "packageManager": "npm"
    }
  }]
}

2. 脆弱性が見つからなかった場合（no-Severity-response.json）

{
  "content": [{
    "vulnerability": null,
    "metadata": {
      "timestamp": "2024-04-23T10:00:00.000Z",
      "packageManager": "npm",
      "message": "No known vulnerabilities found"
    }
  }]
}

開発

開発時の参考として、public ディレクトリにあるレスポンスのサンプルファイルを確認してください：

• Severity-response.json：脆弱性が見つかった場合のレスポンス例（npm audit API のレスポンスを変換したもの）
• no-Severity-response.json：脆弱性が見つからなかった場合のレスポンス例（npm audit API のレスポンスを変換したもの）

注：上記のレスポンス例は、より構造化された形式で提供するために、npm audit API の生のレスポンスを変換したものです。元の npm audit API のレスポンスには追加のメタデータが含まれており、構造が異なる場合があります。

コントリビューション

コントリビューションを歓迎します！行動規範とプルリクエストの提出手順については、コントリビューションガイドをお読みください。

ライセンス

このプロジェクトは MIT License の下でライセンスされています。詳細は LICENSE ファイルをご覧ください。

作者

ESX ([email protected])

リンク

• GitHub リポジトリ
• 課題トラッカー
• 変更履歴