WP HealthKit

@wphealthkit/mcp-server v0.4.0

一个 MCP（Model Context Protocol）服务，可让 AI 助手直接访问 WP HealthKit 的插件审计 API。完成配置后，Claude Desktop、Claude Code 和 Cursor 等工具可直接在聊天界面中触发安全审计、获取发现项、获取适用于 AI 的修复提示词、批量审计整个插件目录，以及标记误报。

设置

必需的环境变量

WPHK_API_KEY=your_api_key_here

请从 wphealthkit.com/dashboard 获取 API 密钥。

Claude Desktop

将以下内容添加到 claude_desktop_config.json（在 macOS 上通常位于 ~/Library/Application Support/Claude/claude_desktop_config.json）：

{
  "mcpServers": {
    "wphealthkit": {
      "command": "npx",
      "args": ["-y", "@wphealthkit/mcp-server"],
      "env": {
        "WPHK_API_KEY": "your_api_key_here"
      }
    }
  }
}

Claude Code

将以下内容添加到项目的 .mcp.json：

{
  "mcpServers": {
    "wphealthkit": {
      "command": "npx",
      "args": ["-y", "@wphealthkit/mcp-server"],
      "env": {
        "WPHK_API_KEY": "your_api_key_here"
      }
    }
  }
}

Cursor

打开 Cursor Settings > MCP > Add Server，并使用：

{
  "wphealthkit": {
    "command": "npx",
    "args": ["-y", "@wphealthkit/mcp-server"],
    "env": {
      "WPHK_API_KEY": "your_api_key_here"
    }
  }
}

---

可用工具

工具	描述
audit_plugin	按 slug 为 wp.org 插件触发安全审计。返回审计 ID。
audit_plugin_zip	对本地 ZIP 文件触发审计。返回审计 ID。
audit_plugins_bulk	审计本地目录中的所有插件 ZIP 文件。每批提交 10 个，并在每项审计完成时流式输出结果，最后打印包含风险细分和高优先级发现项链接的摘要。
get_report	按审计 ID 查询审计状态和完整结果。
get_findings	获取分页的发现项，可按严重程度和类别筛选。
get_fix_prompt	获取适用于 AI 的修复提示词，按严重程度分批提供审计发现项。
check_plugin	从目录中查询插件的安全评级、风险等级和发现项数量。
list_usage	查看当前用量，包括本月已用审计次数、套餐等级和限额。
flag_finding	将发现项标记为误报。报告会提交给 WP HealthKit 团队审核；确认的模式会促使扫描器规则更新，从而在所有后续审计中排除该模式。

---

工具参考

audit_plugin

为托管在 wp.org 上的任意插件触发安全审计。

参数

参数	类型	必需	描述
slug	string	是	wp.org 插件 slug（例如 "contact-form-7"）。
engines	string[]	否	要运行的审计引擎。默认运行所有引擎。

示例

audit_plugin({ slug: "contact-form-7" })
// Returns: { auditId: "abc-123", status: "queued" }

---

audit_plugin_zip

对本地 ZIP 文件触发审计。适用于未在 wp.org 上发布的插件或预发布版本。

参数

参数	类型	必需	描述
path	string	是	磁盘上 ZIP 文件的绝对路径。
engines	string[]	否	要运行的审计引擎。默认运行所有引擎。

示例

audit_plugin_zip({ path: "/Users/me/plugins/my-plugin.zip" })
// Returns: { auditId: "def-456", status: "queued" }

---

audit_plugins_bulk

审计本地目录中的所有插件 ZIP 文件。提交内容按每 10 个一组分批处理。每项审计完成时都会流式输出结果，最后打印包含风险细分和高优先级发现项链接的摘要表。

参数

参数	类型	必需	描述
directory	string	是	包含插件 ZIP 文件的目录绝对路径。
engines	string[]	否	要运行的审计引擎（例如 ["performance"]）。默认运行所有引擎。
pattern	string	否	用于匹配文件的 Glob 模式。默认为 "*.zip"。

示例

audit_plugins_bulk({ directory: "/Users/me/plugins", engines: [] })

输出

每个插件完成审计时，结果会流式输出到对话中。所有审计完成后，工具会打印摘要表：

Plugin                  Risk      Findings   Report
----------------------  --------  ---------  ----------------------------------------
my-plugin.zip           CRITICAL  14         https://wphealthkit.com/report/abc-123
another-plugin.zip      LOW       2          https://wphealthkit.com/report/def-456
legacy-plugin.zip       HIGH      7          https://wphealthkit.com/report/ghi-789

Summary: 3 plugins audited — 1 CRITICAL, 1 HIGH, 0 MEDIUM, 1 LOW

---

get_report

查询审计状态和完整结果。在调用 audit_plugin 或 audit_plugin_zip 后调用此工具，以等待审计完成并获取报告。

参数

参数	类型	必需	描述
auditId	string	是	audit_plugin 或 audit_plugin_zip 返回的审计 ID。

示例

get_report({ auditId: "abc-123" })
// Returns: { status: "completed", grade: "C", riskLevel: "HIGH", findingsCount: 7, reportUrl: "..." }

---

get_findings

返回已完成审计的分页发现项。支持按严重程度和类别筛选。

参数

参数	类型	必填	描述
auditId	string	是	审计 ID。
severity	string	否	按严重程度筛选："CRITICAL"、"HIGH"、"MEDIUM" 或 "LOW"。
category	string	否	按类别筛选（例如 "xss"、"csrf"、"performance"）。
page	number	否	分页页码。默认为 1。

示例

get_findings({ auditId: "abc-123", severity: "CRITICAL" })

---

get_fix_prompt

返回适用于 AI 的审计发现项修复提示词，按严重程度分组并批量整理。可将输出直接传给编码助手以生成补丁。

参数

参数	类型	必填	描述
auditId	string	是	审计 ID。
severity	string	否	将提示词限制为特定严重程度。

示例

get_fix_prompt({ auditId: "abc-123", severity: "HIGH" })

---

check_plugin

从 WP HealthKit 目录查询插件当前的安全等级、风险级别和发现项数量，不会触发新审计。

参数

参数	类型	必填	描述
slug	string	是	wp.org 插件 slug。

示例

check_plugin({ slug: "woocommerce" })
// Returns: { grade: "B", riskLevel: "MEDIUM", findingsCount: 3, lastAudited: "2026-04-20" }

---

list_usage

返回当前计费周期的用量：已使用的审计次数、套餐等级和剩余配额。

参数

无。

示例

list_usage()
// Returns: { auditsUsed: 47, auditsLimit: 100, tier: "pro", resetsAt: "2026-05-01" }

---

flag_finding

将某个发现项标记为误报。WP HealthKit 团队会审核报告。如果确认该模式属于误报，扫描器规则将会更新，以防同一结果在所有未来的审计中再次出现。

参数

参数	类型	必填	描述
auditId	string	是	包含该发现项的审计 UUID。
findingId	string	是	要标记的发现项 ID（例如 "finding-12"）。
findingTitle	string	是	报告中显示的发现项标题。
reason	string	否	说明为何这是误报。

示例

flag_finding({
  auditId: "abc-123-def-456",
  findingId: "finding-5",
  findingTitle: "Named arguments used in internal function call",
  reason: "These are positional args — the scanner is misidentifying the call signature"
})
// Returns: { flagged: true, reviewTicket: "FP-2891" }

---

使用流程

审计单个插件并获取修复提示词

audit_plugin({ slug: "my-plugin" })
  → get_report({ auditId: "..." })          // poll until status === "completed"
  → get_findings({ auditId: "...", severity: "CRITICAL" })
  → get_fix_prompt({ auditId: "..." })

审计本地目录中的所有插件

audit_plugins_bulk({ directory: "/Users/me/plugins" })
  // streams per-plugin results as they complete
  // prints final summary table with risk breakdown

安装前检查插件

check_plugin({ slug: "advanced-custom-fields" })
  // returns grade, risk level, and findings count without consuming an audit credit

审查发现项后标记误报

get_findings({ auditId: "...", severity: "HIGH" })
  → flag_finding({
      auditId: "...",
      findingId: "finding-12",
      findingTitle: "Unescaped output in template",
      reason: "Output is escaped upstream via wp_kses before reaching this call"
    })

---

环境变量

变量	默认值	描述
WPHK_API_KEY	—	必填。你的 WP HealthKit API 密钥。
WPHK_API_URL	https://wphealthkit.com/api/v1	可覆盖此值，指向可自托管或暂存实例。

---

许可证

MIT