policyforge

PolicyForge MCP 服务

直接通过 Model Context Protocol，从你的 AI 编码工具（Claude Code、Cursor、Windsurf、Claude Desktop）生成法律政策——隐私政策、服务条款、Cookie 政策、 退款政策、EULA、免责声明和 HIPAA 商业伙伴协议。

向 Agent 提出 “为这个应用生成一份符合 GDPR + CCPA 的隐私政策”，它就会从你的代码库中填充详细信息，调用 PolicyForge，并将政策直接写入你的项目。

免费试用： 合规审计（audit_compliance）、政策更新检查 （check_policy_freshness）和扫描清单（get_disclosure_checklist）不限次数，且不会占用配额——不妨先试试 “审计我们的合规情况——隐私政策是否涵盖了这段代码实际执行的所有操作？”。此外，你的账户首次通过 MCP 连接时，除了每月免费 2 次生成额度，还会获得 3 次额外政策生成——足以在一次对话中为新项目生成隐私政策、服务条款和 Cookie 政策。

连接

选择与你的客户端相符的行。如果不确定，请从 A 开始。

	登录方式	适用场景
A. 远程 + OAuth	浏览器登录，无需复制密钥	支持 OAuth 的客户端（Claude、ChatGPT）
B. 远程 + API 密钥	Authorization 标头	任何可以发送标头的客户端
C. 本地（npx）	POLICYFORGE_API_KEY 环境变量	将服务作为本地进程运行

这三种方式提供相同的工具。A 和 B 无需安装任何内容。

A. 使用 OAuth 连接远程服务（最简单）

无需复制密钥，也无需编辑配置文件。你需要先创建 PolicyForge 账户——访问 https://policyforge.co，免费，无需银行卡。

1. 添加服务。 -s user 会让它在每个项目中都可用，而不只是你运行此命令的目录：

claude mcp add -s user --transport http policyforge https://policyforge.co/api/mcp

注意，这里没有 --header。省略它，客户端才会使用 OAuth。

2. 重启客户端。 MCP 配置会在启动时读取，因此已经运行的会话看不到新服务。

3. 进行身份验证。 运行 /mcp，选择 policyforge，然后按 Enter：

policyforge · △ needs authentication

浏览器会打开，你登录并批准后，客户端会自行保存令牌。随后你应该会返回 /mcp，并看到 ✔ connected · 16 tools。

要从另一端确认，访问 https://policyforge.co/api-dashboard，会看到一个名为 MCP · <your client> 的密钥——这就是授权记录，删除它即可撤销访问权限。

其他客户端的第 3 步可能有所不同：有些客户端会在首次使用工具时提示，而不是提供明确的身份验证操作。

B. 使用 API 密钥连接远程服务

适用于尚不支持 OAuth 的客户端。在 https://policyforge.co/api-dashboard 创建密钥，然后：

claude mcp add --transport http policyforge https://policyforge.co/api/mcp \
  --header "Authorization: Bearer pf_your_key_here"

对于使用基于 URL 的 MCP 配置的客户端（Cursor、Windsurf 等）：

{
  "mcpServers": {
    "policyforge": {
      "url": "https://policyforge.co/api/mcp",
      "headers": { "Authorization": "Bearer pf_your_key_here" }
    }
  }
}

C. 本地（npx）

更倾向于使用本地进程？服务通过 npx 运行，无需全局安装。使用环境变量中的 API 密钥，这也是 MCP 规范对 stdio 传输的建议方式。

Claude Code

claude mcp add policyforge \
  --env POLICYFORGE_API_KEY=your_key_here \
  -- npx -y @policyforge/mcp@latest

Cursor / Claude Desktop / Windsurf

将以下内容添加到 MCP 配置（.cursor/mcp.json、claude_desktop_config.json 等）：

{
  "mcpServers": {
    "policyforge": {
      "command": "npx",
      "args": ["-y", "@policyforge/mcp@latest"],
      "env": {
        "POLICYFORGE_API_KEY": "your_key_here"
      }
    }
  }
}

在 Windows 上，某些客户端需要用命令包装：设置 "command": "cmd" 和 "args": ["/c", "npx", "-y", "@policyforge/mcp@latest"]。

访问 https://policyforge.co/mcp，查看一键安装（Cursor/VS Code）和各客户端的说明——登录后会自动填入你的 API 密钥。

故障排除

• 401 — 如果你通过 OAuth 连接，授权已被撤销或过期：重新连接并再次批准。如果你使用的是 API 密钥，则该密钥已被删除、停用或输入错误（密钥以 pf_ 开头）——请在 https://policyforge.co/api-dashboard 轮换或创建一个密钥，然后重启客户端。
• 402 — 生成额度已用尽。免费版：每个自然月可生成 2 次，首次连接 MCP 时另赠 3 次生成机会。只有 generate_policy/regenerate_policy 会消耗额度——审计和偏差检查免费；让你的 Agent 运行 get_usage 查看剩余额度。
• 429 — 请求速率受限（免费版：每分钟 10 次，每天 100 次）；响应中包含 retry_after。
• /mcp 中未列出服务 — 会话可能在你添加服务之前就已启动（重启客户端；配置会在启动时读取），也可能是添加到了其他项目范围。使用 claude mcp add -s user … 可让服务在所有位置可用。
• 缺少工具 — 更改配置后重启客户端；在 Windows 上使用上面的 cmd 封装程序。
• “The redirect URI is not registered for this application” — 客户端使用了我们尚未见过的回调 URL。回环回调可使用任意端口（根据 RFC 8252），因此这种情况应该很少见；请报告确切的 URI，以便我们支持它。

更多详情：https://policyforge.co/mcp#troubleshooting

工具

工具	功能
generate_policy	生成一份政策，并返回其 Markdown 内容和托管 URL。消耗 1 份生成额度。
generate_baa	为受 HIPAA 约束的实体与处理 PHI 的供应商生成《业务伙伴协议》。协议依据 45 CFR 164.504(e) 要求的条款编写，并逐条验证。Pro 计划专享；绝不公开托管。消耗 1 份生成额度。
regenerate_policy	使用变更后的业务背景重新运行 AI 引擎——ID 和托管 URL 不变，之前的内容会保存为一个版本。
check_generation	获取仍在运行、工具返回了作业 ID 的生成任务结果（生成需要 40–60 秒；工具最多等待 45 秒）。
update_policy	使用查找/替换修改或完整内容就地编辑政策——ID 和托管 URL 不变，因此已发布的链接仍可使用。
audit_compliance	差距分析：比较代码的实际行为（已扫描的清单）与政策披露的内容。
check_policy_freshness	偏差检测：对比当前代码库扫描结果与生成时存储的清单。
list_policy_versions	查看版本历史——每次更新、重新生成或还原之前都会保存快照。
restore_policy_version	将政策回滚到任意先前版本（此操作本身也可撤销）。
list_policies	列出你账户中的政策（可按类型/状态筛选并分页）。
get_policy	按 ID 获取单份政策，包括完整内容。
delete_policy	永久删除政策（其托管 URL 将停止工作）。
get_usage	生成前查看你的计划等级和剩余生成额度。
get_disclosure_checklist	代码库扫描判定标准：哪些 SDK/模式需要披露，以及如何将扫描结果映射到 generate_policy 字段。
get_integration_guide	获取适用于 Next.js、React、纯 HTML 或 WordPress 的复制粘贴式嵌入/链接说明。
list_policy_types	列出受支持的政策类型、业务类型和司法管辖区。

感知代码库的工作流

你的 Agent 可以读取项目，因此策略依据的是代码实际 执行的内容，而不是你记得它执行的内容：

1. get_disclosure_checklist → Agent 根据评估标准扫描依赖项、脚本标签、Cookie 写入和出站主机，并根据扫描结果构建技术栈清单
2. 使用检测到的上下文和 stack_manifest 调用 generate_policy（存储在 服务端，用于检测偏差）
3. get_integration_guide → Agent 将托管策略接入页脚
4. 之后，技术栈发生变化时：check_policy_freshness 会报告偏差， audit_compliance 会显示具体缺口，regenerate_policy 会修复 这些问题——托管 URL 不变，不会导致链接失效，并且可以恢复之前的版本

generate_policy 输入项

必填： type、business_type、jurisdiction、company_name、contact_email

• type — privacy_policy · terms_of_service · cookie_policy · refund_policy · eula · disclaimer
• business_type — e-commerce · saas · healthcare · education · financial · fintech · real-estate · non-profit · consulting · media · mobile_app · other
• jurisdiction — 从 gdpr ccpa pipeda lgpd us eu ca uk au br global 中选择一个或多个（用逗号分隔以组合，例如 gdpr,ccpa）

可选上下文（可改善生成结果）：website_url、service_description、 data_collection[]、third_party_integrations[]、data_retention、 user_accounts、payments、marketing、analytics、cookies、 children_data、sells_data、target_audience[]、security_measures[]、 governing_law、physical_address、dpo_email、consent_tracking、 hosting_enabled。

generate_baa 输入项

业务伙伴协议是双方具名当事人之间的合同，而非已发布的策略，因此它使用 单独的工具和字段。Pro 方案。

必填： acknowledge_contract（必须为 true）、baa_direction、 company_name、contact_email、双方的法定名称和地址、 baa_effective_date（YYYY-MM-DD）、baa_services_description、 baa_phi_types[]、baa_permitted_uses[]、baa_governing_law_state。

• baa_direction — covered_entity_to_vendor（你是签发协议的医疗机构）或 business_associate_to_client（你是向医疗客户提供协议的供应商）
• baa_phi_types[] — 涉及的 PHI 类别。加入 "Substance use treatment records (42 CFR Part 2)" 会添加 Part 2 附录
• baa_permitted_uses[] — 未在此列出的任何用途均不受协议允许 （45 CFR 164.504(e)(2)(i)）

可选： baa_electronic_phi（默认值为 true）、 baa_uses_subcontractors（默认值为 false）、baa_term_type、 baa_term_end_date、baa_breach_notification_days（1–60，默认值为 30）、 baa_return_or_destroy、baa_include_indemnification、 baa_include_insurance、baa_insurance_amount。

每份生成的协议在返回前都会根据 45 CFR 164.504(e) 要求的 15 项条款进行检查； 如果草稿不完整，系统会拒绝返回，而不会将其交付给你。结果仍是供法律顾问 审核的草稿，且绝不会发布到公开 URL。

配置

仅本地（npx）传输需要配置。远程连接通过 OAuth 或 Authorization 标头进行 身份验证。

环境变量	必填	默认值	用途
POLICYFORGE_API_KEY	是（仅限本地）	—	你的 PolicyForge API 密钥。
POLICYFORGE_API_URL	否	https://policyforge.co	覆盖 API 基础 URL（自托管/测试）。

工作原理

此服务是对 PolicyForge 公共 REST API（/api/v1）的轻量封装。 每个工具都会映射到一个经过身份验证的 HTTP 请求，因此配额、速率限制和 策略生成均由 PolicyForge 服务端权威管理——MCP 层除 API 密钥外不保存其他 机密，也没有自己的业务逻辑。

许可证

MIT