SRI — MCP Server Inspector

SRI — MCP 服务检查器

在连接 MCP 服务之前，先了解它的用途。

连接 MCP 服务，就等于为它打开一条通道，使其能够访问 Agent 的上下文并调用工具。SRI 会读取该服务发布的源代码，并报告发现的内容——每项观察都附有 file:line，以及逐字引用的代码。

**它不会告诉你某个服务是否安全。**它会告诉你代码做了什么，并展示它读取的代码行。由你来判断。

• 端点： https://sri-test.biz/mcp（Streamable HTTP）
• 语料库： 来自官方注册表的 2,238 个 MCP 服务
• 价格： 目前免费——结算使用 Bitcoin signet，因此发票无法使用真实资金支付
• 语料库中的发现： sri-test.biz/research

将其添加到客户端

远程 MCP 服务，无需安装，无需 API 密钥。

{
  "mcpServers": {
    "sri": {
      "type": "http",
      "url": "https://sri-test.biz/mcp"
    }
  }
}

claude mcp add --transport http sri https://sri-test.biz/mcp

工具

check_mcp_server

返回 risk_level、摘要和发现列表。每项发现都包含 location（file:line）、evidence（引用的代码）和 why。

如果语料库中没有该服务，你会收到 status: "queued"，明确说明 “尚未进行任何检查”——这并不代表检查结果良好——并且不会收费。对于无法给出的答案，我们不会收费。

不使用客户端，直接试用

curl -X POST https://sri-test.biz/mcp \
  -H 'Content-Type: application/json' \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/call",
       "params":{"name":"check_mcp_server",
                 "arguments":{"name":"io.github.firebase/firebase-mcp","version":"0.3.0"}}}'

如果这样更方便，也可以使用普通 REST 端点：

curl -X POST https://sri-test.biz/v1/verify \
  -H 'Content-Type: application/json' \
  -d '{"ecosystem":"mcp","name":"io.github.firebase/firebase-mcp","version":"0.3.0"}'

GET /v1/price 无需身份验证，可查看当前条款。 GET /v1/docs 是 OpenAPI 规范。

报告的内容

严重性分为 info / low / medium / high。risk_level 是发现中最高的严重性， 由代码推导得出，而非人为设定——没有发现作为依据的判定结果无法发布。

本服务不是什么

• **没有发现不代表万无一失。**这意味着在我们能够获取的代码中，没有发现上述类别的问题。
• **我们绝不会将软件包标记为恶意，也绝不会称其安全。**如果摘要包含任何一种此类说法，数据导入步骤都会拒绝该记录。
• **仅限 MCP 服务。**npm 和 PyPI 库不在范围内；询问这类库时，你会收到“未分析”的答复。
• **单个分析器，单次分析。**在构建完整语料库之前，我们在一组由人工标注的 84 个服务上测得，不同运行结果的一致率为 93%，并非 100%。

如果发现有误

如果你维护某个服务，且发现某项结果有误，请通过 报告表单 告诉我们。Agent 可以使用 POST /v1/disputes。

**我们会在三个工作日内回复。**在审核期间，该发现可能会从结果中暂时隐藏。如果我们撤回该发现，会重新分析该服务并替换记录。如果我们保留该发现，则会说明其依据的事实。

付款

付费流程采用 L402 （Lightning HTTP 402）：服务端会生成一张发票和一个 macaroon，你付款后提交 Authorization: L402 <macaroon>:<preimage>。验证方式为 sha256(preimage) == payment_hash——你无需运行节点，我们也不要求你注册。

目前已关闭此功能。 结算在 signet（一个测试链）上运行，因此发票无法使用真实资金支付，使用服务免费。启用主网后，价格将恢复为每次缓存查询 $0.20。GET /.well-known/l402 会告知你当前状态。

隐私

我们会记录请求的路径、响应时间、User-Agent，以及使用每日盐值哈希处理的 IP 地址，并保留 90 天。我们绝不存储原始 IP 地址，也绝不存储请求正文——我们只会按名称记录你查询的服务端，不会记录其他信息。