Auditra

Name: Auditra
Author: mwstech

远程服务

macronimous.com安全03 周前更新

代码仓库访问官网

关于 Auditra

Auditra 是只读 WordPress 插件，可向支持 MCP 的 AI 客户端提供站点及插件审计数据。它收集站点事实，不做评分或建议，由客户端负责解读。

主要功能

01检查插件清单和站点上下文
02收集选项、定时任务、数据表及功能使用情况
03按置信度将数据归属到插件
04从带缓存的外部来源补充信息
05通过 MCP 端点提供九种只读工具

适用场景

01检查插件是否存在已知漏洞
02查找造成膨胀的自动加载选项
03检查定时任务和数据库表
04追踪已删除插件留下的数据

MCP 相关

通过 WordPress REST 端点，以 MCP over JSON-RPC 2.0 提供九种只读工具。MCP 客户端可查询站点和插件数据，响应包含覆盖情况及新鲜度元数据。

配置

远程服务无需本地安装。选择你使用的客户端，复制配置或使用一键安装。

服务地址https://{site_domain}/wp-json/auditra/v1/mcp/{token}

一键复制安装命令

Claude CodeTerminalclaude mcp add --transport http mwstech-auditra https://{site_domain}/wp-json/auditra/v1/mcp/{token}

Cursor.cursor/mcp.json{"mcpServers":{"mwstech-auditra":{"type":"http","url":"https://{site_domain}/wp-json/auditra/v1/mcp/{token}"}}}在 Cursor 中打开

VS Code.vscode/mcp.json{"servers":{"mwstech-auditra":{"type":"http","url":"https://{site_domain}/wp-json/auditra/v1/mcp/{token}"}}}在 VS Code 中打开

Claude Desktopclaude_desktop_config.json{"mcpServers":{"mwstech-auditra":{"type":"http","url":"https://{site_domain}/wp-json/auditra/v1/mcp/{token}"}}}

Windsurf~/.codeium/windsurf/mcp_config.json{"mcpServers":{"mwstech-auditra":{"serverUrl":"https://{site_domain}/wp-json/auditra/v1/mcp/{token}"}}}

命令在终端中运行；JSON 粘贴到对应客户端的 MCP 配置后重启。需要授权的服务会在首次连接时提示登录。

工具

详细介绍

Auditra

一个 WordPress 插件，可将安装它的网站变为只读 MCP 服务，让任何支持 MCP 的 AI 客户端（Claude 自定义连接器等）都能用通俗语言检查并分析该网站的插件情况。

询问“我的哪些插件存在漏洞？”，“是什么让我的选项表变得臃肿？”，或“已删除的插件留下了什么？”——即可获得基于网站实际状态的回答。

工作原理

一个插件内包含三个层、一个 REST 路由，无运行时依赖：

传输层 — POST /wp-json/auditra/v1/mcp/{token}，通过 JSON-RPC 2.0 使用 MCP（纯 JSON 响应、无状态）。支持两个协议版本系列，并按请求决定：修订版 2026-07-28（逐请求元数据、server/discover、Mcp-* 标头验证），以及通过 initialize 握手的修订版 2025-11-25 / 2025-06-18 / 2025-03-26。路径中的令牌认证采用可替换接口，并具备 Origin 验证、速率限制和失败认证日志记录。
采集器 — 直接读取 WordPress 数据：清单、站点上下文、自动加载选项、cron、数据库表、内容功能使用情况，以及三级归属引擎，可将选项／表／钩子映射回所属插件，并明确标示置信度（high = 经整理，medium = 推导所得，或清楚标示为未归属）。
数据增强 — 使用两个外部服务：wordpress.org 和 WPVulnerability。两者都无需密钥、都会缓存，且在出现故障时会静默降级，并提供逐来源覆盖情况报告和渐进式退避（15 min → 24 h）。PHP、MySQL 和 MariaDB 的支持周期日期完全不会从外部获取：这些日期打包在 includes/data/lifecycle.json 中，依据各供应商公布的政策编制。

提供九个工具；每个响应都包含 _meta（总数、截断情况、不可用的数据源、时间戳），并限制在 20 KB 以内。服务只报告事实，绝不下结论——刻意不加入评分和建议，因为那是 AI 客户端的工作。完整的设计记录见 docs/DECISIONS.md。

将其连接到 AI 客户端

在 wp-admin 中进入 工具 → Auditra：启用端点、生成令牌并复制连接 URL。
在 Claude 中进入：设置 → 连接器 → 添加自定义连接器，粘贴 URL（必须为 https://）。
提出问题。可以先问“你能告诉我这个网站的插件情况吗？”

网站必须可通过 HTTPS 公开访问，并启用固定链接。使用修订版 2026-07-28 的客户端会在 tools/list 响应中收到 24 小时的有效期提示，因此插件更新新增的工具会在一天内自动显示；较早的修订版没有有效期信号，因此更新后请重新连接连接器，以获取新工具。

贡献

最直接且真正有用的贡献方式，是针对 includes/data/prefix-overrides.json 提交拉取请求——该文件整理了插件 slug 与其实际使用的选项／表前缀的映射（Contact Form 7 → wpcf7_）。每个条目都能提升所有用户的归属准确性。详情见 CONTRIBUTING.md。

开发

composer install   # dev-only: PHPCS + WordPress Coding Standards (pinned)
composer lint
php tests/mcp-client.php https://example.com/wp-json/auditra/v1/mcp/{token}

tests/mcp-client.php 是命令行测试工具，可在不通过 AI 客户端的情况下测试端点；tests/seed-conditions.sh 会构建一个刻意弄乱的测试站点（而 teardown-conditions.sh 会将其精确还原）。CI 会运行 PHP lint 矩阵（7.4–8.4）、PHPCS，以及一个 grep 检查门禁；如果插件代码中出现任何写入操作，就会导致构建失败。