关于 Shipcheck MCP
Shipcheck MCP 允许本地 MCP 客户端对获准检查的 JavaScript 和 TypeScript 仓库执行只读发布风险扫描。其静态分析检查项目文件，不执行代码，也不发起网络请求。
主要功能
- 01扫描 JavaScript 和 TypeScript 仓库
- 02检查应用及 MCP 服务项目的发布风险
- 03输出 text、Markdown、JSON 或 SARIF
- 04读取文件但不修改或执行项目代码
适用场景
- 01发布前检查仓库的发布风险
- 02检查 MCP 服务是否记录执行及认证边界
- 03生成 SARIF 扫描报告
MCP 相关
向支持 stdio 服务的本地 MCP 客户端提供 `scan_repository` 工具。该工具扫描获准检查的本地仓库，并按指定格式返回结果。
配置
本地服务的配置在各客户端中通用，复制后粘贴到客户端的 MCP 配置文件即可。
工具
1收录的工具列表 · 更新于 3 周前
| 参数 | 类型 | 必填 | 说明 |
|---|---|---|---|
| root | string | 否 | 经授权的本地代码库的绝对路径或相对路径。默认为当前工作目录。 |
| format | enum | 否 | 报告呈现格式：终端使用 text，审阅备注使用 markdown，自动化使用 json，代码扫描上传使用 sarif。text | markdown | json | sarif |
| failOn | enum | 否 | 通过／失败阈值。high 仅在发现 high 级别问题时失败；medium 在发现 medium 和 high 级别问题时失败；low 在发现 low 至 high 级别问题时失败；info 在发现任何问题时失败。info | low | medium | high |
| strict | boolean | 否 | 为 true 时，启用面向发布交接、目录提交和生产审查的额外就绪检查。 |
详细介绍
shipcheck-mcp
可让本地 MCP 客户端在获准访问的 JavaScript 和 TypeScript 代码仓库上运行 Shipcheck 的 MCP 服务。
Shipcheck 会扫描应用和 MCP 服务，查找发布风险，例如暴露看起来属于私密信息的环境变量、未签名的 Stripe Webhook、缺少 Supabase/Firebase 规则证明、调试路由、缺少用量成本防护机制、缺少 CI、依赖版本范围过宽、发布文档过于简略、缺少 MCP 冒烟测试证明、未记录的 STDIO 执行边界，以及未记录的远程 MCP 身份验证边界。
工具页面：https://tateprograms.com/shipcheck.html
免费 MCP 发布自检：https://tateprograms.com/mcp-self-check.html
MCP 目录发布清单：https://tateprograms.com/mcp-directory-checklist.html
付费 MCP 发布检查：https://tateprograms.com/mcp-launch-review.html
官方 MCP Registry：https://registry.modelcontextprotocol.io/v0/servers?search=shipcheck
安装
使用 npx 直接运行：
npx --yes shipcheck-mcp
MCP 配置
将此服务添加到支持 stdio 服务的 MCP 客户端：
{
"mcpServers": {
"shipcheck": {
"command": "npx",
"args": ["--yes", "--package", "shipcheck-mcp", "shipcheck-mcp"]
}
}
}
STDIO MCP 客户端配置会启动本地命令。运行生成的配置前，请检查 command、args 和任何 env 值，确保信任软件包来源；如果部署需要可重复性，请优先使用固定的软件包版本。
工具
scan_repository
{
"root": ".",
"format": "markdown",
"failOn": "medium",
"strict": true
}
格式：text、markdown、json 或 sarif。
严重程度：info、low、medium 或 high。
Shipcheck 是防御性静态分析工具，并非渗透测试。它会读取本地项目文件，不会修改代码仓库，也不会执行项目代码，且无需访问网络。仅在你拥有或获准检查的代码仓库上运行。
开发
npm install
npm run check
评论
一个开放协议，规定了 AI 应用如何以统一方式连接外部工具与数据源。客户端负责与模型对话，MCP 服务负责提供工具、资源和提示模板，两者通过标准消息通信，同一个服务可以被不同客户端复用。