mcpField
T
tashan

tashan

本地服务
tashan.sh安全0今天更新
代码仓库访问官网

关于 tashan

tashan 是用于检查 MCP 服务、插件和技能的命令行工具，面向安装前评估和本地工具箱审查。它依据公开证据展示维护、安全、采用情况及权限信息，并可用退出码门控 CI。

主要功能

  1. 01检查弃用、恶意项目和安全公告
  2. 02展示评分及公开证据
  3. 03分析 Claude Code 本地使用记录
  4. 04检查权限面与近期变化
  5. 05以退出码门控 CI

适用场景

  1. 01安装前核查 MCP 服务或技能
  2. 02审查现有 Agent 工具箱
  3. 03在 CI 中阻止需关注的项目

MCP 相关

tashan 检查 MCP 服务及相关项目的公开资料，不向 MCP 客户端提供工具或资源。

配置

本地服务的配置在各客户端中通用，复制后粘贴到客户端的 MCP 配置文件即可。

mcp.json · 通用配置
{
  "mcpServers": {
    "sh-tashan-tashan": {
      "command": "npx",
      "args": [
        "-y",
        "tashan-cli"
      ]
    }
  }
}
启动命令npx -y tashan-cli

本地服务需要在你的电脑上安装运行环境（如 Node.js 18+）。各客户端的配置文件位置不同，请参考客户端文档。

安装包
npmtashan-cli0.1.4

工具

3

收录的工具列表 · 更新于 2 周前

参数类型必填说明
taskstring是用户想要完成的任务，例如“搜索网页”“处理 PDF”“查询 postgres”
limitnumber否返回的候选项数量（默认值为 3）
clientenum否安装命令的目标客户端：claude、cursor、desktop、codex 或 npxclaude | cursor | desktop | codex | npx

详细介绍

tashan CLI

终端中的可信 Agent 工具箱目录。它会将你运行的内容与 tashan.sh 进行核对。该网站依据 npm、GitHub、OSV 和 MCP 注册表上的公开 证据，对其能找到的每个 MCP 服务、插件和技能进行评估。任何人都不能付费获得排名。

npx tashan-cli                 # check the toolbox you already have (the default)
npx tashan-cli info context7   # should I install this? The verdict first, then the evidence
npx tashan-cli search database # find capabilities, ranked on public evidence

tashan（doctor）会告诉你什么

  • 哪些内容需要关注。 包括已弃用、已归档、无人维护、从注册表中移除、恶意或存在已知安全公告的内容。它会提供安全公告 ID、修复问题的版本，以及软件包在安装时运行的确切命令。
  • 你的技术栈得分。 我们评估的每个服务、插件和技能都有 tashan 评分、在其类别中的排名（例如“超过 98% 的浏览器类工具”），以及评分依据的证据：发布者、下载量、星标数、来源证明和文档等级。
  • 你在使用什么。 根据你本地的 Claude Code 历史记录：过去 30 天调用过哪些服务、哪些从未调用过，以及你使用了多少项技能。只会读取工具名称和日期，数据不会离开你的设备。Cursor 和 Claude Desktop 不会保留此类记录，因此不会显示使用量。这不代表使用量为零。
  • 它能访问什么。 你的 Agent 拥有的权限范围（文件、网络、浏览器、Shell、凭据），以及哪些工具能将第三方文本引入模型上下文。这些信息来自已声明的依赖项；不会执行任何内容。
  • 发生了什么变化。 过去 30 天内，你所运行内容的所有权变更、新增安装脚本、权限扩大和停止维护等情况。这些事件与 tashan.sh/changes.html 上的记录相同。
  • 你拥有些什么。 所有项目的数量、上次运行后新增的内容，以及哪些技能没有插件维护。

发现需要关注的内容时，退出代码为 2，可用于阻止 CI 通过。

tashan Pro

以上所有发现均免费提供，不设限制。Pro 增加了时间维度：展示你所用各项能力的每日评分序列，以迷你趋势图呈现其变化方向。当你依赖的工具停止维护时，Pro 会指出经过评估的替代方案。每月 $6，免费试用 7 天：tashan.sh/pricing。使用 tashan login 登录；在 CI 中设置 TASHAN_KEY=<key>。

标志

  • --all：列出所有项目，包括没有公开记录描述的项目
  • --json：输出机器可读格式（可通过管道传给 jq）
  • --limit <n>：限制 search 的结果行数（默认值为 20）
  • --client <c>：用于 add 的客户端：claude · cursor · desktop · codex · npx

工作原理

零依赖，Node ≥ 18。它会读取 tashan.sh/data/lookup.json 中的公开索引和你的本地配置。你的配置永远不会被上传。每项评分都可以根据公开证据重新计算。

TASHAN_DATA=<path>：改为读取本地 index.json，而不访问网络（开发／离线模式）； TASHAN_SITE=<url>：指向不同的部署地址。

node tashan.test.mjs        # pure-logic tests, no network

评论

支持 Markdown

第一次接触 MCP？

从协议是什么，到在客户端里装上第一个服务，这几条回答覆盖了大多数入门问题。

一个开放协议，规定了 AI 应用如何以统一方式连接外部工具与数据源。客户端负责与模型对话，MCP 服务负责提供工具、资源和提示模板，两者通过标准消息通信，同一个服务可以被不同客户端复用。