sphior-code-mcp

sphior-code-mcp

SPHIOR CODE の公式 Model Context Protocol (MCP) サーバーです。MCP 対応クライアントならどれでも利用でき、コード内のセキュリティ上の問題を見つけて、独自の AI アシスタントに修正させることができます。

開始時にアカウントは必要ありません。 API キーを設定しない場合、サーバーは同梱の決定論的エンジンでローカルのワークスペースをスキャンし、検出結果を AI エージェントに渡します。改ざん防止機能付きの証拠、履歴、GRC 連携が必要になったら、後から API キーを追加できます。

利用できる機能

AI アシスタントが、次のような質問に答えられるようになります。

• 「このプロジェクトをスキャンして、重大な問題を修正してください。」 ← アカウント不要で利用できます
• 「今のコードで最も深刻度の高い脆弱性は何ですか？」
• 「検出項目 abc-123 の修正方法を見せてください。」
• 「この SQL インジェクションのアラートを解決済みにしてください。今、修正しました。」 （API キーが必要です）
• 「今月の全体的なセキュリティ状況はどうですか？」 （API キーが必要です）

SPHIOR のスキャンエンジンからのライブデータを使用します。決定論的な SAST（シークレット＋CWE パターン。14 言語にわたり実際のパーサーで解析）と、OSV.dev を利用した SCA を実行します。検出に AI は一切関与しないため、同じコードからは常に同じ検出結果が得られます。

対応クライアント

これは標準的な MCP stdio サーバーなので、あらゆる MCP 対応クライアントで動作します。

クライアント	設定場所	セットアップ
Cursor	~/.cursor/mcp.json	MCP を追加
Claude Code	~/.claude.json	claude mcp add sphior-code -- npx sphior-code-mcp
VS Code	~/.config/Code/User/settings.json (mcp.servers)	MCP 内蔵
GitHub Copilot (VS Code)	.vscode/mcp.json	MCP ネイティブ対応
Cline（VS Code 拡張機能）	~/.config/Code/User/globalStorage/saoudrizwan.claude-dev/settings/cline_mcp_settings.json	設定 UI
Continue（VS Code 拡張機能）	~/.continue/config.yaml	mcpServers: セクション
Windsurf	~/.codeium/windsurf/mcp_config.json	設定 UI
Zed	~/.config/zed/settings.json (context_servers)	MCP ネイティブ対応
JetBrains AI Assistant（2024.3 以降）	設定 → ツール → AI Assistant → MCP	MCP 内蔵

インストール

# No install needed — use npx
npx -y sphior-code-mcp

# Or install globally
npm install -g sphior-code-mcp
sphior-code-mcp

2 つのモード

	ローカル（デフォルト）	クラウド
セットアップ	不要 — 実行するだけです	SPHIOR_API_KEY を設定
スキャン対象	ローカルのワークスペース	SPHIOR に接続されたリポジトリ
利用可能なツール	get_fix_context、health_check	8 つすべてのツール
ソースコードがマシンから外部に送信される	ありません	ありません
改ざん防止機能付きの証拠／履歴／GRC への送信	—	✅

ローカルモードでは、エディター拡張機能を支えるものと同じ決定論的エンジン（シークレット＋CWE パターン＋14 言語にわたるテイント解析。実際の文法で解析）を、クライアントが起動したディレクトリに対して実行し、エージェントが対応できる修正ガイダンスを返します。SPHIOR のサーバーに接続することはありません。

クラウド専用ツールは、何が必要かを明確に説明するメッセージを返します。何も通知せずに失敗することはありません。

設定

開始するために必要な設定はありません。クラウド機能を利用するには、 sphior.com/account/api から API キーを取得して設定してください。

export SPHIOR_API_KEY=sk_live_xxxxxxxxxxxx

環境変数

変数	必須	デフォルト	説明
SPHIOR_API_KEY	いいえ	—	ベアラートークン。ローカルモードでは省略し、クラウドモードでは設定します
SPHIOR_WORKSPACE	いいえ	現在のディレクトリ	ローカルモードでスキャンするディレクトリ
SPHIOR_API_BASE	いいえ	https://sphior.com/api/v1	セルフホスト型／リージョン別のデプロイで上書きします
SPHIOR_TIMEOUT	いいえ	30000	リクエストのタイムアウト（ミリ秒、1000～300000）
SPHIOR_DEBUG	いいえ	false	stderr への詳細ログ出力を有効にします

設定例（Cursor / Claude Code / VS Code スタイル）

ローカルモード — コピーして貼り付ければ完了です。 アカウントもキーも不要です。

{
  "mcpServers": {
    "sphior-code": {
      "command": "npx",
      "args": ["-y", "sphior-code-mcp"]
    }
  }
}

Claude Code ユーザーはファイルを丸ごと省略できます。

claude mcp add sphior-code -- npx sphior-code-mcp

次に、エージェントにこう頼みます：「このプロジェクトをスキャンして、重大な問題を修正してください。」

クラウドモード — 同じブロックにキーを追加します。

{
  "mcpServers": {
    "sphior-code": {
      "command": "npx",
      "args": ["-y", "sphior-code-mcp"],
      "env": {
        "SPHIOR_API_KEY": "sk_live_xxxxxxxxxxxx"
      }
    }
  }
}

VS Code の GitHub Copilot では、"mcpServers" の代わりに "servers" を使用します（ここでも env ブロックは省略可能です）。

{
  "servers": {
    "sphior-code": {
      "type": "stdio",
      "command": "npx",
      "args": ["-y", "sphior-code-mcp"]
    }
  }
}

公開されるツール

ツール	モード	目的
get_fix_context	ローカル + クラウド	エージェントが対応するための修正ガイダンス — 重要な理由、正確な場所、手順、参考資料。ソースコードが送信されることはありません。エージェントは自身のワークスペースでファイルを開きます
health_check	ローカル + クラウド	サーバーが稼働中であることを確認します（クラウドモードでは認証も確認します）
list_findings	クラウド	脆弱性を一覧表示します（重大度／ステータス／件数で絞り込み可能）
get_finding	クラウド	1 件の検出結果の詳細（CVSS、CWE、ファイルパス、修正のヒント）
get_security_summary	クラウド	セキュリティ状況の概要（重大度別件数、最終スキャン、監視対象リポジトリ）
resolve_finding	クラウド	修正済みとしてマークします
mark_false_positive	クラウド	悪用不可能としてマークします
verify_evidence	クラウド	改ざん検知可能な証拠チェーンを独立して検証します（監査担当者向け）

get_fix_context はローカルモードで path を受け付けます。これを使用すると、クライアントがサーバーを起動したディレクトリ以外をスキャンできます。

公開されるリソース

• sphior-code://summary — 現在のセキュリティ状況の JSON スナップショット
• sphior-code://findings/{id} — 検出結果ごとの詳細（未解決の検出結果は自動的に一覧表示）

信頼性

• 指数バックオフによる再試行（5xx／ネットワークエラー時、最大 3 回）
• 30 秒のリクエストタイムアウト（設定可能）
• 適切な縮退動作 — 認証エラーは即時失敗し、サーバーエラーは再試行します
• 実行可能なヒントを含む構造化エラー
• stderr のみへのログ出力（stdout は MCP プロトコル用に確保）

開発

# In this directory
npm install
npm run build
# Local mode — no key needed
node bin/sphior-code-mcp.js

# Cloud mode
SPHIOR_API_KEY=sk_test_xxx node bin/sphior-code-mcp.js
# Type a JSON-RPC request to test

ライセンス

MIT © SPHIOR Security

リンク

• 🌐 SPHIOR Code
• 📖 API リファレンス
• 🐛 問題を報告
• 🔑 API キーを取得