obra-cto

Obra CTO

一个本地优先的 MCP 服务，用于评估代码库的构建就绪度。你可以将它安装到自己的 Claude 中。你的 Claude 会在你的机器上读取代码并运行测试。不会上传任何内容。

这是 Obra 角色阵容的免费预览，并且始终免费且在本地运行。CTO 会读取你的代码，告诉你投资者进行技术尽调时会发现什么：真实的安全漏洞、薄弱的设计决策，以及阻碍严肃审查的差距。团队中的其他角色（负责准备融资材料的 Obra CFO 等）则位于 Build with Obra 社区中。

Obra 创始人工具包

两个免费、本地运行的开源 MCP，专为配合使用而打造：

• Obra CTO（就是这个）：是否已经构建完成？它会评估你的代码库，并指出技术尽调中会标记的问题。GitHub · npm
• Obra CFO：是否具备融资条件？它会模拟投资委员会评审你的演示文稿，并将经过验证的构建转化为融资依据。GitHub · npm

先运行 CTO。CFO 会将其报告作为 A 级技术证据。方法、深入版本以及处于 Beta 阶段的 Obra 都位于 Build with Obra。

为什么要本地优先

读取你代码的工具不该把代码发送到其他地方。你的源代码绝不会离开你的机器。此服务只会进行一种网络调用，而且仅在你运行依赖项检查时进行：它会将软件包名称和版本发送到 OSV 漏洞数据库，绝不会发送任何一行代码（你可以在 src/deps.ts 中查看这唯一的一次调用）。其他所有操作都在本地完成：它会返回计数、存在标记、已脱敏的机密扫描结果和评分。你可以在运行此服务前逐行阅读代码，这正是保持其开源的意义所在。

你将获得什么

Obra CTO 评分，满分 100 分，根据你的阶段（原型、MVP 或增长期）进行校准，涵盖六个维度：

维度	权重
安全性	25
产品实际情况（实际构建的内容）	20
稳健性	15
架构	15
可维护性	15
部署就绪度	10

每项发现都带有证据等级：A 已验证，B 多个来源，C 部分证据或推断，D 仅有声明，E 推测。评分依据 A 级和 C 级证据，也就是代码中的真实情况，而不是演示文稿中的说法。CTO 运行你的测试且测试通过后，可靠性就会成为 A 级证据。演示文稿评分工具永远无法获得这一等级。

一次运行的效果

将它指向一个真实项目，就能获得带有风险优先级列表的评分报告。以下是对一个粗糙的 Supabase 应用进行评估的结果（已匿名处理）：

# Obra CTO Score: financeapp
## 46 / 100 · Not yet ready
Assessed as: mobile (react-native, expo)  |  Backend: supabase

| Dimension        | Score | Evidence |
|------------------|-------|----------|
| Security         | 6/25  | A |
| Product reality  | 20/20 | A |
| Robustness       | 3/15  | A |
| Architecture     | 9/15  | A |
| Maintainability  | 6/15  | A |
| Deploy readiness | 2/10  | C |

## Top Risks
- [critical] RLS policies defined but never enabled; data may be open to any authenticated user
    Fix: enable row level security on every table, then verify a second user cannot read your rows.
- [high] Access control gap: a privileged action checks only that the user is logged in, not that they own the resource
- [medium] No tests found

对于构建完善的应用，它会给出高分并肯定优秀的工程实践。它经过校准，并非制造恐慌的工具。

工具

• scan_project 会读取项目并返回机械分析信号。
• check_dependencies 会根据 OSV 漏洞数据库检查锁定的依赖项。只有软件包名称和版本会离开你的机器，绝不会发送代码。
• run_tests 会运行你的测试套件（此操作会执行代码，因此你的 Claude 会先征求同意），并解析通过和失败的数量。
• prepare_code_review 会选出信号最强的文件（架构和策略文件、入口点及与安全相关的代码），并将它们交给你的 Claude，同时附上针对你的技术栈定制的检查清单，其中包括后端即服务视角（Supabase、Firebase），以及批判架构而不只是代码的设计红队审查。
• score_build_readiness 会生成 Obra CTO 评分以及主要风险列表。

常规运行流程为：扫描、检查依赖项、运行测试、准备代码审查，然后评分。

安装

将它添加到你的 Claude MCP 配置中（Claude Desktop 或 Claude Code）：

{
  "mcpServers": {
    "obra-cto": {
      "command": "npx",
      "args": ["-y", "obra-cto"]
    }
  }
}

然后询问你的 Claude：“使用 Obra CTO 评估此项目的构建就绪度。”

想从源码运行？克隆代码库，运行 npm install && npm run build，然后将配置指向 node /absolute/path/to/obra-cto/dist/index.js。

这不是什么

它不是代码检查工具，不是安全扫描器，也不能替代你亲自让 Claude 阅读代码。它是融资准备工作中的技术尽职调查准备：投资方的 CTO 会提出什么问题，以及如何根据你的真实代码作答。

接下来

Obra CTO 是免费预览版。想要进一步了解：

• **方法论：**完整的实践手册，介绍如何借助 AI 发布生产级软件，以及让代码达到上述示例水平的各项规范；每节课都附有可立即使用的粘贴式提示词或工具。
• **团队其他成员：**为融资准备材料提供支持的 Obra CFO，以及后续推出的每个新角色。
• **Obra 本身，目前处于 Beta 阶段：**负责管理后台工作的 AI 员工。会员可优先体验。

前往 https://get-obra.com/build 查看完整工具集及其发展方向

完整的方法论和社区位于 Build with Obra：https://www.skool.com/build-with-obra-5361/about

许可证

Apache-2.0。