aso-audit-mcp

aso-mcp — 免费的 Agent Readiness Scanner

你的 ASO 评分是多少？

SEO 让搜索引擎能够发现你。ASO（Agent Signal Optimization） 让正在成为网络新访客的 AI Agent 能够发现你、信任你并为你付费。

aso-mcp 是免费的开源 ASO Scanner — 一个 MCP 服务，可扫描任意网站，并依据开放的 ASO 框架生成 Agent Readiness Report。Beta 版 npm 软件包为 @forgemeshlabs/aso-audit-mcp。

此版本遵循 Google 当前的 Agent 就绪度指南，不夸大其作用：Google Search 表示，传统 SEO 基础仍适用于生成式 AI 搜索；llms.txt 会被 Google Search 本身忽略；浏览器 Agent 则能从整洁的 DOM、屏幕截图和无障碍树信号中受益。扫描器保留了 llms.txt 检查，因为非 Google Agent 会使用它；同时新增浏览器 Agent UX 检查，涵盖语义控件、关联标签、ARIA/role 回退方案以及隐藏覆盖层风险。

Beta。 用于评估 Agent 是否能够发现、信任、理解并使用网站/API/工具的实验性 ASO 扫描器。ASO 评分仍处于实验阶段，并会随着 Agent 标准的成熟而不断演进。

=== Agent Readiness Report: https://example.com ===
ASO Score: 70/100
Agent Readiness: Ready
Level: ASO-4 Trustable — Agents can verify trust, reputation, and operational signals.

Discoverability  20/20    Identity  15/20    Trust   11/15
Commerce          5/15    Reputation 4/15    Memory  15/15

检查内容 — 6 个支柱中的 34 项信号

通过一次扫描发现 发现性、信任、互操作性和商业化 方面的差距 — 涵盖各种新兴 Agent 标准：

支柱 / 类别	检查项
发现性	robots.txt、sitemap.xml、Link 标头、DNS-AID（_agent.<domain>）、/.well-known/ai
内容	Markdown 内容协商、llms.txt、LLM 可读文档（/index.md、llms-full.txt）
Bot 访问	明确的 AI 爬虫规则（GPTBot、ClaudeBot、Google-Extended、PerplexityBot…）、Content Signals、Web Bot Auth
互操作性	API Catalog（RFC 9727）、OAuth discovery（RFC 8414）、OAuth Protected Resource（RFC 9728）、auth.md、MCP Server Card（/.well-known/mcp/server-card.json）、Google A2A Agent Card（/.well-known/agent-card.json，验证必需字段）、Agent Skills、WebMCP
商业化	x402、MPP、UCP、ACP、机器可读定价
身份与信任	HTTPS 强制、JSON-LD/schema.org、适合 Agent 使用的浏览器 UX、OpenAPI、agent.json、security.txt、状态端点、版本控制、跨文件身份与信号一致性

确定性的 x402 v2 端点审计

MCP 工具 audit_x402_endpoint 可补充针对整个源站的 ASO 扫描，对单个付费端点进行 不产生费用的协议审计。它会返回 0–100 分的评分、A–F 等级、合规判定、逐项检查结果、 未通过的检查项，以及观察到的方案/网络/扩展。它会验证实时 402 挑战，但绝不会发送 PAYMENT-SIGNATURE，因此无法授权或结算付款。

检查项包括：HTTPS/TLS、HTTP 402、PAYMENT-REQUIRED、Base64 JSON、x402Version: 2、 非空的 accepts、CAIP-2 网络、必需的付款字段，以及 JSON 内容类型。对于需要请求正文的路由， 请传入 method、body，并可选传入 content_type。

此结果特意与 ASO Score 分开报告：协议合规并不能证明可发现性、信任、结算、幂等性或 付费响应质量。

持续演进的标准模型

Agent 协议变化很快。扫描器作为一个持续演进的框架的一部分进行维护：检查项均有版本，稳定标准、可选功能、候选版本、草案和厂商惯例会分别标注。请参阅带日期的扫描器来源列表和规范的 ASO 来源注册表。

每项检查都会返回 通过 / 部分通过 / 未通过，并提供具体证据和修复建议。结果会汇总到 ASO 的六大支柱（可发现性 20、身份 20、信任 15、商务 15、声誉 15、记忆 15）→ 得出你的 ASO 评分和成熟度等级。

安装

需要 Node.js ≥ 20。此软件包已发布到 npm，名称为 @forgemeshlabs/aso-audit-mcp——无需克隆或构建。

npm install -g @forgemeshlabs/aso-audit-mcp

也可以完全跳过安装，使用 npx 运行（推荐用于 MCP 客户端）：

npx -y @forgemeshlabs/aso-audit-mcp

Claude Code

claude mcp add aso -- npx -y @forgemeshlabs/aso-audit-mcp

Claude Desktop / Cursor / Windsurf（任何 MCP 客户端）

{
  "mcpServers": {
    "aso": {
      "command": "npx",
      "args": ["-y", "@forgemeshlabs/aso-audit-mcp"]
    }
  }
}

开发（从源代码构建）

仅当你要修改扫描器本身时才需要：

git clone https://github.com/forgemeshlabs/aso-audit-mcp
cd aso-audit-mcp
npm install && npm run build
claude mcp add aso -- node /path/to/aso-audit-mcp/dist/index.js

工具

工具	功能
list_tools	免费菜单：列出下方所有工具及其价格（均为 $0）——供先挑选再调用的 Agent 使用
scan_site	完整的 ASO 扫描 → Agent 就绪度报告：ASO 评分、等级、支柱细分，以及全部 34 项检查的证据和建议
get_fix_plan	优先级排序的修复计划，附带可直接粘贴的模板（robots.txt AI 规则、llms.txt、agent.json、A2A Agent 卡片、MCP 服务卡片、x402 清单、pricing.json、security.txt、状态端点）
check_signal	运行一项指定检查（例如 a2a-agent-card、llms-txt、x402）
list_checks	所有检查项的目录，附带规范链接
get_aso_framework	ASO 评分标准：支柱、权重、等级、认证门槛

试试这样提问：“扫描 example.com 的 Agent 就绪度” · “我的 ASO 评分是多少？” · “给我一份修复计划，让我的网站满足 Agent 就绪要求。”

CLI 冒烟测试（从源代码检出目录运行）

npm run smoke -- https://your-site.com

Glama / 注册表元数据

此代码仓库包含 glama.json，用于管理 Glama MCP 注册表的所有权和安装元数据。

• 软件包： @forgemeshlabs/aso-audit-mcp
• 当前版本： v0.4.4
• 传输方式： 本地 stdio
• 身份验证： 本地使用 stdio 无需身份验证。扫描器不会索取 API 密钥、令牌、Cookie 或第三方凭据。
• HTTP 部署： 此 npm 软件包未启用此功能。公开部署此扫描器的任何 HTTP 服务都必须先添加身份验证、按客户端设置速率限制、记录请求日志并实施出站流量策略，然后才能对外开放。

推荐的 Glama/MCP 安装命令：

npx -y @forgemeshlabs/aso-audit-mcp

将服务连接到 MCP 客户端后的用法示例：

Scan https://example.com for agent readiness.
Give me the ASO fix plan for example.com.
Check only the llms-txt signal for example.com.
List the ASO scanner checks.

版本验证：

• Git 标签：v0.4.4
• npm 软件包：@forgemeshlabs/aso-audit-mcp
• MCP 服务版本：0.4.5（启动时从 package.json 读取）

从 v0.2.0 起，服务包含确定性的零支出 x402 v2 端点合规性审计，同时将更全面的 ASO Agent 就绪度评分保留为独立指标。

Glama 发布构建

Glama 安装需要 Glama 发布版本，即通过 Glama Dockerfile 管理页面创建的容器化构建，而非 GitHub 发布版本。此代码仓库包含生产用 Dockerfile 和 GLAMA.md，其中列出了在 Glama 中使用的构建规范值：

构建步骤：

npm ci
npm run build
npm prune --omit=dev

运行时命令：

node dist/index.js

在 Glama 的 CMD arguments 字段中输入：

["node", "dist/index.js"]

不要将 CMD arguments 留空为 []；Glama 会将此字段与 Dockerfile 的 CMD 分开验证。

ASO 框架

SEO 为人类用户提升页面排名。ASO 则让服务做好准备，以便 Agent 选择、调用、付费使用并重复使用。

级别	名称	分数
ASO-0	不可见	0–9
ASO-1	可发现	10–29
ASO-2	可理解	30–49
ASO-3	可调用	50–69
ASO-4	值得信赖	70–89
ASO-5	已具备自主商务能力	90–100

此扫描器给出的分数仅供方向性自我评估。ASO 认证（ASO-3+）需要经过验证的证据——请参阅评分标准和 agentsignaloptimization.com，了解审核、认证和完整框架。

赞助卡片（Lulu Ads）

此 MCP 后面没有付费的 ForgeMesh 服务——每个工具都会直接获取扫描的网站——因此 Lulu Ads 卡片只能在客户端附加，且只能附加到 list_tools。它是 JSON 结果中的一个普通标注数据字段，绝不是模型可能会读作指令的文本：

"sponsored": { "label": "Sponsored", "text": "...", "url": "https://..." }

• 此软件包不提供广告凭据。 只有运行 MCP 的运营者设置了 LULU_ADS_PUBLISHER_ID 和 LULU_ADS_API_KEY（两者缺一不可），卡片才会显示。对于不提供凭据、运行 npx -y @forgemeshlabs/aso-audit-mcp 的终端用户，此软件包不会向广告网络发起任何请求，也不会显示任何卡片。
• LULU_ADS_ENABLED=false 是紧急关闭开关。扫描／审计工具绝不会触及 SDK。
• 故障时放行： 发生任何 SDK 错误或超时（硬性时限为 2 秒）时，都会原样返回原始响应。除你要求扫描的网站外，此软件包唯一联系的外部主机是 ads.getlulu.dev。对扫描网站的请求都会通过 SSRF 防护客户端发出（拒绝私有 IP、固定 DNS、10 秒超时、512 KB 响应上限、重新验证重定向）。
• 移除它： delete result.sponsored。

安全性

此扫描器会向你提供的 URL 发送出站请求，因此经过了防护，可抵御 SSRF 滥用：

• 协议白名单 — 仅允许 http/https；拒绝 file:、ftp:、gopher:、data: 等协议。
• 阻止访问私有目标 — DNS 解析后，拒绝向环回地址、私有地址（RFC 1918）、链路本地地址、CGNAT 地址、保留地址、多播地址和云元数据地址（169.254.169.254）发送请求。IPv6 环回地址/ULA/链路本地地址和 IPv4 映射形式也包含在内。如果某个主机名解析到任何私有地址，扫描就会被拒绝。
• 固定 IP 传输 — 每个请求都连接到经过验证的确切公网 IP，同时 TLS 仍会验证原始主机名。这堵住了先验证、后连接期间的 DNS 重绑定漏洞。
• 手动验证重定向 — 禁用自动跟随重定向；每一跳都会依据同一规则重新验证，最多允许 5 次重定向。重定向到内部地址的公网 URL 无法绕过防护。
• 不可信的远程内容 — 默认不会将解析出的清单包含在工具输出中（设置 include_artifacts: true 可选择启用，届时会明确标记为不可信）；内嵌文本摘录会清理控制字符并限制长度。所有返回的远程内容都应视为数据，而非指令。
• 限制明确 — 仅支持 GET，UA 为 ASO-Scanner/1.0，最多 6 个并发请求，超时为 10s，响应正文上限为 512KB。绝不进行身份验证，绝不发送 POST 请求，也绝不爬取超出已知路径的内容。
• 已测试的安全加固 — npm test 涵盖不安全 URL 拒绝、私有 IP 范围、工件清理、重定向阻止、重定向跳数上限，以及仅用于测试的环回访问逃生口。

部署： stdio（本地、每位用户独立）是安全的默认选项。公开部署 HTTP 会成为网络出站工具，必须在公开前添加身份验证、按客户端实施速率限制、记录请求日志，并制定出站策略。

• 声誉信号（引用、评价、成功率）无法由爬虫自动验证；它们会标记为 manual，并在通过审计验证前计为 0，因此可自动验证的最高分为 89/100。这是有意保持诚实，并非错误。
• 新兴规范（MCP Server Cards SEP-1649/SEP-2127、DNS-AID、Web Bot Auth、UCP/ACP/MPP）变化很快。欢迎提交 PR 更新路径。

与源指南对齐

此软件包有意将 Google 搜索指南与更广泛的 ASO 指南分开：

• Google 搜索的生成式 AI 功能仍依赖核心搜索排名和质量系统；基础 SEO、可爬取性、实用内容和技术清晰度仍是首要任务。
• Google 搜索不会使用 llms.txt 或特殊 AI Markdown 文件来影响排名，也不会据此判断在 AI Overviews/AI Mode 中的可见性。ASO 仍会检查这些内容，因为其他 Agent 和 MCP 客户端可能会使用它们。
• Google/web.dev 面向 Agent 的网站指南关注浏览器 Agent 的易用性：稳定的布局、语义化 HTML、与输入项关联的标签、有意义的角色/名称/状态，以及避免使用隐藏覆盖层。
• UCP、AP2、A2A、MCP、x402、DNS-AID、Content Signals 和 Web Bot Auth 是新兴的非 SEO 协议。扫描器将它们视为 Agent 就绪度信号，而非 Google 搜索排名因素。

主要参考资料：

• https://developers.google.com/search/docs/fundamentals/ai-optimization-guide
• https://web.dev/articles/ai-agent-site-ux
• https://ucp.dev

许可证

MIT — 所有人均可免费使用。如果扫描器发现了不足，ASO 框架会告诉你如何弥补。