TrustedMCP

TrustedMCP MCP 服务

为你的 Agent 提供 TrustedMCP 评级。问它“这个 MCP 服务怎么样？”或“检查我的 MCP 配置”，它就会为每个服务给出 A 到 D 的评级、优先修复的问题，以及同类别中评级更高的服务。

每项评级都基于公开信号进行评估：登录方式、维护情况、已知 CVE，以及服务的连接方式。请将其作为自行审查的起点。这并非代码审计。了解我们的评级方式。

工具

工具	功能
lookup_server	按名称、npm 或 PyPI 包、Docker 镜像、URL、GitHub 仓库或启动命令查询单个服务：查看其评级、四项检查、优先修复的问题，以及 TrustedMCP 页面。
check_config	检查 MCP 配置中的每个服务。不带参数时，会读取 Claude Desktop、Claude Code、Cursor、VS Code 和 Windsurf 的常用配置文件。你也可以传入一个 client、一个 path 或 config JSON。
find_alternatives	按类别、搜索词或最低评级查找已评级的服务。也可以指定某个服务的 instead_of，以查找其类别中评级更高的服务。
registry_lookup	查询官方 MCP Registry 条目：包括包、远程服务（如有 TrustedMCP 评级）和已报告的安全问题（GHSA/CVE，以及列出的版本是否受影响）。

这四个工具都只读取数据。

获取密钥

调用工具需要免费的 API 密钥。请在 trustedmcp.io/developers 使用电子邮箱注册。即使没有密钥，服务仍会启动并列出工具，但每次工具调用都会报错，提示你添加密钥。

密钥按权限范围划分。密钥可以有以下三种权限范围中的任意一种：

权限范围	包含
servers:read	lookup_server 和 find_alternatives
config:check	check_config
registry:read	registry_lookup

如果提供的是包名或搜索词，而非 Registry 名称，registry_lookup 也会回退到服务搜索，因此还需要为密钥授予 servers:read 权限。如果密钥缺少工具所需的权限范围，工具会告知缺少哪项权限。你可以在同一页面撤销或轮换密钥。已撤销或无效的密钥会被拒绝，工具会提示你获取新密钥。

安装

托管版（无需安装）

TrustedMCP 也提供托管服务，地址为 https://trustedmcp.io/mcp。它提供相同的四个工具。无需安装，也不需要 Node.js。请将密钥作为 Bearer 令牌发送。

Claude Code：

claude mcp add --transport http trustedmcp https://trustedmcp.io/mcp --header "Authorization: Bearer YOUR_KEY"

Cursor（~/.cursor/mcp.json）：

{
  "mcpServers": {
    "trustedmcp": {
      "url": "https://trustedmcp.io/mcp",
      "headers": { "Authorization": "Bearer YOUR_KEY" }
    }
  }
}

VS Code（.vscode/mcp.json）：

{
  "servers": {
    "trustedmcp": {
      "type": "http",
      "url": "https://trustedmcp.io/mcp",
      "headers": { "Authorization": "Bearer YOUR_KEY" }
    }
  }
}

托管服务无法读取你机器上的文件，因此 check_config 需要你将配置粘贴为 config 参数。下方的 npx 版本会在本地读取配置文件。

使用 npx 在本地运行

需要 Node.js 18 或更高版本。

Claude Code

claude mcp add trustedmcp -e TRUSTEDMCP_API_KEY=YOUR_KEY -- npx -y trustedmcp mcp

Claude Desktop、Cursor、Windsurf（claude_desktop_config.json、~/.cursor/mcp.json、~/.codeium/windsurf/mcp_config.json）

{
  "mcpServers": {
    "trustedmcp": {
      "command": "npx",
      "args": ["-y", "trustedmcp", "mcp"],
      "env": { "TRUSTEDMCP_API_KEY": "YOUR_KEY" }
    }
  }
}

VS Code（.vscode/mcp.json）

{
  "servers": {
    "trustedmcp": {
      "type": "stdio",
      "command": "npx",
      "args": ["-y", "trustedmcp", "mcp"],
      "env": { "TRUSTEDMCP_API_KEY": "YOUR_KEY" }
    }
  }
}

然后提问：“用 TrustedMCP 检查我的 MCP 配置”，或“@playwright/mcp 的评级是多少？有没有更好的选择？”

哪些数据会离开你的机器

使用托管端点时，你传递给工具的任何内容都会发送到 trustedmcp.io。本节其余内容适用于 npx 版本。

check_config 会读取你机器上的配置文件。它只会向 TrustedMCP 发送：

• 配置中每个服务的名称，以及
• 它找到的包名（npm:@playwright/mcp）、镜像名（oci:ghcr.io/github/github-mcp-server）和服务 URL（不含查询字符串）。

环境变量、标头、令牌、其他参数和文件路径都会留在你的机器上。对于通过本地文件运行的服务（node ./server.js），不会发送任何信息；工具会告知你无法查询该服务。API 不会存储收到的信息。构建这些标识符的代码位于 src/identifiers.ts 和 src/config.ts。

设置

变量	默认值	作用
TRUSTEDMCP_API_KEY	无	调用工具所必需。可从 trustedmcp.io/developers 免费获取密钥，需具有 servers:read、config:check 和 registry:read 权限。
TRUSTEDMCP_API_URL	https://trustedmcp.io/api/v1	API 基础 URL，用于针对其他副本进行测试。

API

该服务是免费 TrustedMCP JSON API 的轻量客户端（https://trustedmcp.io/api/v1：/servers、/servers/{slug}、/lookup、/check、/registry/{name}、/categories）。文档和条款：trustedmcp.io/developers。展示评级时，请注明“Grades by TrustedMCP”，并链接到该服务的页面。

开发

npm install
npm test        # vitest
npm run build   # tsc to dist/
TRUSTEDMCP_API_URL=http://127.0.0.1:8000/api/v1 node dist/cli.js mcp

即使将 TRUSTEDMCP_API_URL 指向本地副本，调用工具仍需要密钥。

发布（维护者）：更新 package.json 中的 version 和 server.json 中的两个 version 字段（顶层和 packages[0]），然后运行 npm publish，再运行 node scripts/publish-registry.mjs，将同一版本发布到官方 MCP Registry。该脚本需要 io.trustedmcp/* 的域密钥；密钥不会离开维护者的计算机。

将其用作库：

import { createServer, TrustedMcpApi } from 'trustedmcp';

没有找到需要的服务？

如果你使用的服务没有评级，申请评级。

许可证

MIT