make-audit-mcp

Name: make-audit-mcp
Author: arose26

本地服务

github.com/arose26安全02 周前更新

代码仓库

关于 make-audit-mcp

make-audit-mcp 是用于在导入前检查 Make.com 场景蓝图的 MCP 服务，面向需要审查本地蓝图的用户。它检查结构、安全风险和引用问题，并遮蔽类似密钥的值。

主要功能

01检查场景结构
02遮蔽类似凭据的值
03检查失效的模块引用
04检查 HTTP 与 webhook 风险
05检查路由器和错误处理
06检查日志保留设置

适用场景

01导入共享蓝图前进行审查
02追踪模块映射的输入与输出
03查找蓝图中的硬编码令牌

MCP 相关

向 MCP 客户端提供蓝图检查、模块追踪和审计工具。它处理本地蓝图文件，不运行场景。

配置

本地服务的配置在各客户端中通用，复制后粘贴到客户端的 MCP 配置文件即可。

mcp.json · 通用配置

{
  "mcpServers": {
    "arose26-make-audit": {
      "command": "npx",
      "args": [
        "-y",
        "make-audit-mcp"
      ]
    }
  }
}

启动命令npx -y make-audit-mcp

本地服务需要在你的电脑上安装运行环境（如 Node.js 18+）。各客户端的配置文件位置不同，请参考客户端文档。

安装包

npmmake-audit-mcp0.1.0stdio

工具

收录的工具列表 · 更新于 2 周前

参数	类型	必填	说明
path	string	是	Make.com 场景蓝图（.json 导出文件）的路径

详细介绍

make-audit-mcp

一个 MCP 服务，可在导入 Make.com（Integromat）场景蓝图之前对其进行审计。蓝图随处可见——模板库、论坛、“1000 个自动化”合集——导入蓝图就意味着一并导入其中的 Webhook、HTTP 调用，以及作者留下的任何类似凭据的字符串。

“这个蓝图里有什么？”——模块、应用、触发器、路由器、错误处理、场景设置
“导入安全吗？”——硬编码令牌（输出中会遮蔽）、纯 http:// 调用、悬空模块引用、未过滤的路由器路由、缺少错误处理、日志保留设置
“模块 5 的输入是什么？”——双向追踪映射引用

Make 官方 MCP会运行你的场景；这个工具则会在文件变成场景之前对其进行审查。仅处理本地文件。

快速开始

Claude Code

claude mcp add make-audit -- npx -y make-audit-mcp

Claude Desktop——添加到 claude_desktop_config.json：

{
  "mcpServers": {
    "make-audit": {
      "command": "npx",
      "args": ["-y", "make-audit-mcp"]
    }
  }
}

然后提问：“导入之前，审计一下 C:\Downloads\lead-intake.blueprint.json。”

工具

工具	功能
`inspect_blueprint`	场景概览：模块、应用、触发器、路由器、错误处理器、设置
`trace_module`	详细查看单个模块——参数／映射（秘密信息会遮蔽）、出向和入向引用
`audit_blueprint`	问题报告：错误／警告／信息

审计器检查内容

类似凭据的字面值，包括参数或映射中的 api_key、token、Authorization、Bearer …——导出时会剥离连接信息，因此任何字面秘密都不应出现在共享文件中。所有值都会遮蔽（supe… (18 chars)），包括问题报告中的值——审计器绝不会把泄露的令牌进一步带入模型上下文。
悬空引用——例如 {{99.output}} 这样的映射指向不存在的模块（手动编辑或合并蓝图后常会出现）。提取器能理解 Make 的表达式语法：{{formatDate(2.date; "X")}} 引用模块 2，而 {{parseNumber(3.14)}} 不引用任何模块。
纯 http:// URL、Webhook 触发器（任何拥有 URL 的人都能调用）、没有任何路由经过过滤的路由器、存在但已禁用的模块、未启用 DLQ 且没有错误处理器，以及 confidential=false 的日志保留设置。

已知限制：不会验证路由器分支之间的执行顺序——引用检查仅确认模块是否存在。

开发

npm install
npm test                 # offline tests — synthetic blueprints built in-suite
npm run build            # tsc → dist/
node scripts/smoke.mjs   # end-to-end: generates a blueprint, drives the server over stdio

架构：src/blueprint.ts（递归遍历模块、提取引用、遮蔽秘密信息）和 src/audit.ts（检查项）都是纯逻辑；src/index.ts负责连接 MCP。除 MCP SDK 外，运行时没有其他依赖。

与 Make / Celonis 无关联，也未获其认可。