supply-chain-guard

Name: supply-chain-guard
Author: homeofe

本地服务

github.com/homeofe安全

代码仓库

关于 supply-chain-guard

supply-chain-guard 是本地离线运行的开源供应链安全扫描器，可检查 15 个生态系统中的包和组件。它分析恶意行为、生成 SBOM，并通过 MCP 让编码 Agent 在安装前检查依赖。

主要功能

01离线扫描清单与锁文件
02匹配 15 个生态系统的恶意组件
03分析恶意代码与安装钩子
04生成 CycloneDX 1.6 SBOM
05评估 SLSA 来源并关联攻击链

适用场景

01在安装包前核验依赖
02在 CI 中阻止高风险变更
03检查仓库中的传递依赖与恶意代码

MCP 相关

MCP 服务向编码 Agent 提供包检查能力，帮助其在安装前评估依赖。

配置

本地服务的配置在各客户端中通用，复制后粘贴到客户端的 MCP 配置文件即可。

mcp.json · 通用配置

{
  "mcpServers": {
    "homeofe-supply-chain-guard": {
      "command": "npx",
      "args": [
        "-y",
        "supply-chain-guard"
      ]
    }
  }
}

启动命令npx -y supply-chain-guard

本地服务需要在你的电脑上安装运行环境（如 Node.js 18+）。各客户端的配置文件位置不同，请参考客户端文档。

安装包

npmsupply-chain-guard6.6.1stdio

工具

收录的工具列表 · 更新于 1 天前

参数	类型	必填	说明
name	string	否	软件包名称，例如 'event-stream' 或 '@scope/pkg'（package-mode）
version	string	否	要检查的确切版本（可选，包模式）。如果不提供，只匹配与版本无关的 IOC。
ecosystem	enum	否	该名称所属的包生态系统（包模式）npm \| pypi \| ruby \| composer \| nuget \| go \| jenkins \| terraform \| vscode \| openvsx \| maven \| actions \| pub \| docker \| tfmodule \| swift \| cocoapods \| hex \| cran \| conan \| helm \| ansible \| homebrew \| chrome \| edge \| firefox \| jetbrains
indicator	string	否	要与情报源匹配的单个域名、URL、IP 或哈希（指标模式）。请改用此参数，不要使用 ecosystem/name。