SkillSync MCP

SkillSync MCP

网站 | Smithery | npm | GitHub

这是一个面向 SkillsMP 的 MCP（Model Context Protocol）服务。SkillsMP 是 Claude Code 技能市场。你可以直接通过 AI 助手搜索、扫描安全威胁、安装和管理技能。

唯一一款在安装技能前必须完成全面安全扫描的工具。

功能

• 搜索——在 SkillsMP 市场中进行关键词和 AI 语义搜索
• 安全扫描——覆盖 60 多种威胁模式：提示词注入、反向 Shell、凭据窃取、供应链攻击、加密货币挖矿、混淆
• 安装——从 GitHub 下载技能到 ~/.claude/skills/，并自动执行安全检查
• 卸载——彻底移除已安装的技能
• 安全搜索——一步完成搜索和自动扫描
• 已安装技能注册表——列出所有已安装技能及其风险等级和内容哈希
• 深度审计——对任意已安装技能强制执行全新的安全扫描
• 启动验证——后台发现、内容哈希计算，以及使用 fs.watch 实现实时同步

为什么选择 SkillSync？

	原始 git clone	其他工具	SkillSync MCP
安装前进行安全扫描	否	否	是——覆盖 60 多种模式
拦截严重威胁	否	否	是——提示词注入、RCE、凭据窃取
多客户端支持	不适用	不一	Claude Code、OpenClaw、Cursor、Windsurf、GitHub Copilot、Zed、nanobot
市场搜索	手动	部分支持	内置关键词和 AI 语义搜索
启动验证	否	否	是——fs.watch + 内容哈希
输出净化	否	否	是——防提示词注入

工具（13 个）

工具	描述
skillsmp_search	在 SkillsMP 市场中进行关键词搜索
skillsmp_ai_search	AI 语义搜索（Cloudflare AI）
skillsmp_scan_skill	对 GitHub 技能仓库进行安全扫描（覆盖 60 多种模式）
skillsmp_search_safe	搜索并自动扫描排名靠前的结果
skillsmp_install_skill	扫描后安装到 ~/.claude/skills/
skillsmp_uninstall_skill	移除已安装的技能
skillsmp_list_installed	列出所有已安装技能及其风险等级（可选刷新）
skillsmp_audit_installed	对指定的已安装技能进行深度安全审计
skillsmp_suggest	根据已安装的技能提供 AI 技能推荐
skillsmp_compare	并排比较两个技能的安全性
skillsync_configure	管理同步订阅和设置
skillsync_sync_now	运行同步周期：轮询、对比差异、安装／更新／移除
skillsync_status	显示同步引擎状态和计划

兼容

适用于 Claude Code | OpenClaw | Cursor | Windsurf | GitHub Copilot | Zed | nanobot ——任何兼容 MCP 的客户端

安装

Smithery（一键安装）

通过 Smithery 安装，即可与任何受支持的客户端自动完成配置。

Claude Code

添加到 ~/.claude/settings.json：

{
  "mcpServers": {
    "skillsmp": {
      "command": "npx",
      "args": ["-y", "@stranzwersweb2/skillsync-mcp"]
    }
  }
}

OpenClaw

添加到 ~/.openclaw/mcp.json：

{
  "mcpServers": {
    "skillsmp": {
      "version": "1.3.0",
      "autoUpdate": false,
      "command": "npx",
      "args": ["-y", "@stranzwersweb2/[email protected]"]
    }
  }
}

OpenClaw 使用与 Claude Code 相同的 SKILL.md 格式。通过此服务安装的技能与这两个平台兼容。OpenClaw 用户应固定版本，并按照安全强化指南审查工具策略。

Cursor

添加到项目根目录下的 .cursor/mcp.json：

{
  "mcpServers": {
    "skillsmp": {
      "command": "npx",
      "args": ["-y", "@stranzwersweb2/skillsync-mcp"]
    }
  }
}

Windsurf

添加到 ~/.windsurf/mcp.json：

{
  "mcpServers": {
    "skillsmp": {
      "command": "npx",
      "args": ["-y", "@stranzwersweb2/skillsync-mcp"]
    }
  }
}

GitHub Copilot

添加到项目根目录下的 .github/copilot-mcp.json，或添加到 ~/.github/copilot-mcp.json 以进行全局配置：

{
  "mcpServers": {
    "skillsync": {
      "command": "npx",
      "args": ["-y", "@stranzwersweb2/skillsync-mcp"],
      "env": {
        "SKILLSMP_API_KEY": "your-api-key"
      }
    }
  }
}

Zed

在 ~/.config/zed/settings.json 的 "context_servers" 键下添加：

{
  "context_servers": {
    "skillsync": {
      "command": {
        "path": "npx",
        "args": ["-y", "@stranzwersweb2/skillsync-mcp"],
        "env": {
          "SKILLSMP_API_KEY": "your-api-key"
        }
      }
    }
  }
}

全局安装

npm install -g @stranzwersweb2/skillsync-mcp

然后在任意 MCP 配置中引用：

{
  "mcpServers": {
    "skillsmp": {
      "command": "skillsync-mcp"
    }
  }
}

客户端兼容性

客户端	配置路径	技能格式
Claude Code	~/.claude/settings.json	~/.claude/skills/ 中的 SKILL.md
OpenClaw	~/.openclaw/mcp.json	SKILL.md（相同格式，ClawHub 注册表）
Cursor	.cursor/mcp.json	仅 MCP 工具
Windsurf	~/.windsurf/mcp.json	仅 MCP 工具
GitHub Copilot	.github/copilot-mcp.json	仅 MCP 工具
Zed	~/.config/zed/settings.json	仅 MCP 工具
nanobot	MCP 配置	仅 MCP 工具

安全模型

安装须通过多级安全扫描：

风险级别	行为
安全 / 低	继续安装，并显示警告
中 / 高	阻止安装——需要使用 force: true 才能覆盖
严重	永久阻止安装——无法覆盖

其他安全防护

• 防止技能名称和文件名中的路径遍历
• 防止 SSRF——仅接受 github.com URL
• npm install --ignore-scripts——阻止 postinstall 攻击
• 最多 50 个文件，总大小限制为 2MB
• 跳过二进制文件，并标记可疑文件名
• 使用内容哈希进行 TOCTOU 验证
• 输出净化——移除零宽 Unicode 字符和双向覆盖字符，并截断内容以防止提示词注入

工作原理

Search SkillsMP -> Pick a skill -> Security scan (60+ patterns)
                                        |
                              Critical? -> BLOCKED
                              Medium/High? -> Requires force=true
                              Safe/Low? -> Download from GitHub
                                        |
                              Write to ~/.claude/skills/<name>/
                                        |
                              npm install --ignore-scripts (if needed)
                                        |
                              Startup verification (fs.watch + content hash)
                                        |
                              Restart your MCP client to load

示例

向 AI 助手提问：

Search for git-related skills on SkillsMP

Scan this skill for security issues: https://github.com/user/repo/tree/main/skills/my-skill

Install the commit skill from https://github.com/user/repo/tree/main/skills/commit

List all my installed skills

Run a deep security audit on the commit skill

Uninstall the commit skill

开发

git clone https://github.com/adityasugandhi/skillsync-mcp.git
cd skillsync-mcp
npm install
npm run build
npm run dev    # Watch mode with tsx
npm run test:build  # Build + run tests

要求

• Node.js >= 20
• 任意兼容 MCP 的客户端（Claude Code、OpenClaw、Cursor、Windsurf、GitHub Copilot、Zed、nanobot 等）

贡献

欢迎贡献。请参阅 CONTRIBUTING.md 了解相关指南。

• 浏览未解决的问题，或查找带有 good-first-issue 标签的问题
• 如需添加新的威胁检测模式，请参阅 docs/THREAT_PATTERNS.md
• 所有 PR 都必须通过现有测试套件（npm run test:build）

发布者

npm 包以旧版作用域 @stranzwersweb2 发布——其作者与 GitHub 所有者 adityasugandhi 是同一人。这两个身份均属于 Aditya Sugandhi。

作者

Aditya Sugandhi -- adityasugandhi.com | GitHub

Star 历史

许可证

MIT - Aditya Sugandhi