mcp-server-scf

mcp-server-scf

为 AI agents 提供安全合规控制、框架和风险管理。

通过 Model Context Protocol，让 AI 助手访问 1,451 项 SCF 安全控制、354+ 项框架映射（NIST 800-53、ISO 27001、SOC 2、FedRAMP、GDPR）、证据追踪、风险登记册和供应商风险管理。

为 SCF Controls Platform 打造。由 ComplianceGenie.io 维护。

🆕 该平台现已成为开源、可自托管的软件。 SCF Controls Platform——面向免费 Secure Controls Framework 内容的原生 SCF GRC 工具——已依据 AGPL-3.0 发布于 scf-controls-platform-oss。公司可通过 Docker Compose 下载并自行托管。

遇到问题？→ docs/troubleshooting.md · API 密钥设置 → docs/authentication.md · 工作原理 → docs/architecture.md

---

概览

mcp-server-scf 通过 MCP 将 AI 助手连接到 SCF Controls Platform，让你能够以自然语言与合规计划交互。AI 可以浏览完整的 SCF 控制目录、追踪实施进度、管理证据收集、评估风险并监控第三方供应商——所有操作都无需离开编辑器或聊天界面。

15 个领域共 224 个工具——点击查看完整参数表和提示词示例：

领域	工具数	描述
目录	8	浏览 1,451 项控制措施、354+ 个框架、5,736 项评估目标、领域和证据定义
控制范围界定	15	跟踪 8 个状态工作流中的实施状态；按框架批量纳入或移出范围；框架覆盖率、范围变更预览和单项控制覆盖设置；义务依据、重要性、目标成熟度、流程链接
证据	41	证据跟踪（单项和批量）、任务、文件审查、健康状况、验证、AI 评估和审查队列
风险管理	19	5×5 风险矩阵、风险登记册、评分更新、经批准的风险接受、自定义风险和标准例外、控制措施↔风险可追溯性、风险概况
供应商风险（TPRM）	23	供应商登记册、AI 调研和评估、认证、行动项、补偿性控制措施
组织	12	用户、组织、组织概况和成熟度目标、审计跟踪、变更游标、工作队列、通知
能力	19	KSI 主题、记分卡、证据态势、系统清单、系统证据能力、目录 + AI 配方
Webhook	6	Webhook 端点、投递日志、密钥轮换
文档	15	ISMS 文档生成、章节编辑、合并冲突解决、生命周期转换、导出
审计约定	16	约定工作区、冻结范围、原生框架呈现、审计员访问权限、结构化查询
目录协调	9	预览、决策、应用并回滚贵组织的 SCF 目录版本升级
团队	11	业务职能、团队和名册、团队对控制措施和证据的问责（单项和批量）
协作	7	将用户分配至控制措施、证据和任务；评论串
引导式旅程	4	组织经历的分阶段路径、旅程模板、导入和命名阶段认证
保证	19	控制缺陷、组织补偿性控制措施、控制验证、月度态势快照、能力测试
哪些平台操作被转化为工具、哪些暂缓处理，以及哪些有意排除在外，均记录在 docs/tool-scope.md 中。

---

使用 MCP Inspector 试用

无需将服务添加到客户端即可试用 — MCP Inspector 会启动本地 UI，检查每个工具及其架构和说明：

npx @modelcontextprotocol/inspector npx -y mcp-server-scf

Inspector 会在 http://localhost:6274 打开，并通过 stdio 连接到 mcp-server-scf。你会看到全部 224 个工具，按领域分组，并以实时表单形式呈现其 Zod 架构。

实时调用工具需要你实例的 URL 和 API 密钥 — 在启动 Inspector 前，在同一个 shell 中导出 SCF_API_URL 和 SCF_API_KEY，或者在 Inspector UI 内的“Environment Variables”选项卡中设置这些变量。没有它们，你仍然可以浏览架构和说明；工具调用则会返回配置错误。

---

快速开始

1. 自托管平台并获取 API 密钥

SCF Controls Platform 是由你自行托管的开源软件 — 无需注册。通过 scf-controls-platform-oss 部署（这是一个附带 PostgreSQL、Redis 和 MinIO 的 Docker Compose 堆栈），然后：

1. 在平台的 .env 中设置 API_KEY（使用 openssl rand -hex 32 生成），或者在应用运行后前往 Settings → API Keys 创建密钥。
2. 记下实例的 API URL — 默认是 http://localhost:8000，也可以使用你部署的主机地址。

将该密钥用作 SCF_API_KEY，并将实例 URL 用作 SCF_API_URL（参见配置）。

2. 安装 — 一键安装

根据你的客户端选择安装方式。

Claude Desktop — 一键安装方式是下方经过签名的 .mcpb Desktop Extension。Claude Desktop 不会注册自定义 URL 方案，因此没有可点击的深层链接；你需要将 .mcpb 拖到 Settings → Extensions，然后粘贴一次 API 密钥。请参阅 anthropics/claude-code#26952，了解上游跟踪问题。

Cursor — 点击下方徽章。Cursor 会注册 cursor:// 方案，因此深层链接会打开 IDE，并预填服务配置：

安装后，编辑预填的 SCF_API_URL，将其指向你自己的实例 — 没有托管的默认实例。

想手动编辑配置，或在没有深层链接的客户端（Windsurf、Docker）上安装？请参阅下方的**3. 手动配置**。

Claude Desktop Extension (.mcpb)

对于 Claude Desktop ≥ 0.11.0，最简单的安装方式是使用经过签名的 .mcpb 捆绑包 — 无需编辑 JSON、无需 npx 运行时，主机上也无需安装 Node：

1. 从 最新 GitHub 版本下载 mcp-server-scf-<version>.mcpb。
2. 双击该文件（或将其拖到 Claude Desktop → Settings → Extensions）。
3. 系统提示时，粘贴你的 scf_… API 密钥。密钥会存储在操作系统的钥匙串中，而不是配置文件里。
4. Claude Desktop 会重启服务，届时即可使用全部 224 个工具。

之后如需卸载或更新 API 密钥，请前往：Settings → Extensions → SCF Controls Platform → Configure。

3. 手动配置

Claude Desktop — 编辑 ~/Library/Application Support/Claude/claude_desktop_config.json（macOS）或 %APPDATA%\Claude\claude_desktop_config.json（Windows）：

{
  "mcpServers": {
    "scf": {
      "command": "npx",
      "args": ["-y", "mcp-server-scf"],
      "env": {
        "SCF_API_KEY": "your_api_key_here",
        "SCF_API_URL": "http://localhost:8000"
      }
    }
  }
}

Claude Code：

claude mcp add scf -- npx -y mcp-server-scf
export SCF_API_KEY="your_api_key_here"
export SCF_API_URL="http://localhost:8000"

Cursor / Windsurf — 使用与 Claude Desktop 相同的 JSON 结构，放在 .cursor/mcp.json 中（或 Windsurf 对应的路径）。

Docker：

{
  "mcpServers": {
    "scf": {
      "command": "docker",
      "args": ["run", "-i", "--rm", "-e", "SCF_API_KEY", "-e", "SCF_API_URL", "markac007/mcp-server-scf"],
      "env": {
        "SCF_API_KEY": "scf_your_api_key_here",
        "SCF_API_URL": "https://scf.your-domain.example"
      }
    }
  }
}

---

配置

变量	必填	默认值	描述
SCF_API_KEY	是	—	来自你的可自托管平台实例的 API 密钥
SCF_API_URL	是	—	你的可自托管平台的基础 URL（例如 http://localhost:8000）。原先托管版的默认服务已停用。

---

提示词示例

连接后，可以尝试向 AI 助手提问：

• "哪些 NIST 800-53 控制措施适用于访问控制？"
• "显示我组织的控制措施实施进度。"
• "列出所有关键供应商及其风险评分。"
• "为我们的云迁移创建风险评估。"
• "SOC 2 审计需要收集哪些证据？"
• "显示我组织的 5x5 风险矩阵。"
• "对我们的云服务提供商执行 DPSIA。"

更多示例请参阅 docs/tools/ 下各领域的文档。

---

文档

• docs/authentication.md — API 密钥设置、轮换、可自托管 URL 配置和作用域。
• docs/architecture.md — 请求流程、错误模型、速率限制，以及服务会做和不会做的事情。
• docs/troubleshooting.md — 常见故障模式的症状、原因和解决方法。
• docs/tools/ — 各领域的参考文档，包含完整的参数表。

---

安全

• 绝不会记录 API 密钥或将其包含在错误消息中。
• 密钥会在服务端进行 SHA-256 哈希处理。任何可从 localhost 外部访问的实例都应使用 HTTPS。
• 速率限制：读取操作每分钟 100 次请求，写入操作每分钟 20 次请求。
• 多租户 — 所有操作均限定在你的组织范围内。
• npm 软件包通过 OIDC 可信发布，并附带来源证明。
• CI 包含 Gitleaks 密钥检测、CodeQL 分析和 Semgrep SAST。

如需报告漏洞，请参阅 SECURITY.md。

---

隐私政策

mcp-server-scf 是无状态连接器——它本身不存储任何用户数据。所有数据都通过 API 密钥进行身份验证，在你的 MCP 客户端与自己的 SCF Controls Platform 实例之间直接流动；不会向任何第三方发送或保留任何数据。详情请参阅完整的隐私政策。

---

开发

git clone https://github.com/MarkAC007/mcp-server-scf.git
cd mcp-server-scf
npm install
npm run build
npm run dev        # Watch mode
npm run lint       # ESLint
npm test           # Vitest

使用 MCP Inspector 进行测试

SCF_API_KEY=scf_your_key npx @modelcontextprotocol/inspector node build/index.js

---

贡献

欢迎贡献！提交 PR 前，请阅读 CONTRIBUTING.md。

本项目遵循 Contributor Covenant——请参阅 CODE_OF_CONDUCT.md。参与本项目即表示你应遵守此准则。

1. Fork 此仓库
2. 创建功能分支（git checkout -b feature/amazing-feature）
3. 提交更改（git commit -m 'Add amazing feature'）
4. 将更改推送到分支（git push origin feature/amazing-feature）
5. 创建 Pull Request

---

许可证

MIT — 请参阅 LICENSE。

---

链接

• scf-controls-platform-oss — 开源、可自托管的平台（AGPL-3.0）
• ComplianceGenie.io — 维护者
• Model Context Protocol — MCP 规范
• SCF Framework — Secure Controls Framework
• npm Package — npm 注册表
• Changelog — 发布历史