mcpField
N
npm Supply Chain Audit

npm Supply Chain Audit

远程服务
github.com/tylerscomic-lab安全04 周前更新
代码仓库

关于 npm Supply Chain Audit

面向开发者的 MCP 服务，用于审查 npm 依赖的供应链风险。它检查近似包名、风险安装脚本和未固定版本，并可查询 npm 实时注册表以发现不存在或新发布的包。

主要功能

  1. 01比对热门包检测近似名称
  2. 02检查风险安装脚本
  3. 03标记通配符和 latest 版本
  4. 04查询 npm 实时注册表
  5. 05标记弃用及低流量新版本

适用场景

  1. 01安装依赖前审查 package.json
  2. 02核查可疑的 npm 包名
  3. 03查找含风险生命周期脚本的包

MCP 相关

向 MCP 客户端提供依赖审计和包名检查工具，也包括查询 npm 实时注册表的工具。

配置

远程服务无需本地安装。选择你使用的客户端，复制配置或使用一键安装。

服务地址https://npm-supply-chain-audit-mcp.mcpize.run/mcp
一键复制安装命令
Claude CodeTerminal
Cursor.cursor/mcp.json
VS Code.vscode/mcp.json
Claude Desktopclaude_desktop_config.json
Windsurf~/.codeium/windsurf/mcp_config.json

命令在终端中运行；JSON 粘贴到对应客户端的 MCP 配置后重启。需要授权的服务会在首次连接时提示登录。

工具

详细介绍

npm-supply-chain-audit-mcp

License: MIT Live on MCPize

一个 MCP 服务，用于审计 package.json，识别真实 npm 供应链事件背后的实际手段—— 拼写仿冒和恶意安装脚本，而非泛泛查询漏洞数据库。

它能检测什么

拼写仿冒。 依赖名称与 npm registry 中依赖量最高的包（lodash、express、react、axios 等约 90 个）的字符编辑距离在 1-2 以内——这些正是拼写仿冒攻击的真实目标，因为攻击者会盯上安装量最大的包。lodahs、expres、reqeust 都会触发警报；无关且确实不同的包名则不会。

恶意安装脚本。 preinstall/install/postinstall 钩子会在 npm install 时自动运行，早于对包自身代码的任何审查——这正是许多真实事件背后的攻击手段（event-stream（2018 年）、ua-parser-js（2021 年）以及之后的其他事件）。它会标记将远程下载内容直接传入 shell 的脚本，以及在运行前解码混淆的 base64 载荷的脚本。

未固定版本。 依赖版本设为 * 或 latest 时，后续发布的任何版本都会被静默拉取，而代码仓库中不会有差异记录来解释依赖树为何发生变化。

工具

audit_package_json

全面审计 package.json 文件。

check_package_name

针对单个包名进行拼写仿冒专项检查。

使用方法

托管服务（推荐）： MCPize——提供免费套餐，Pro 套餐每月 7 美元。

自行托管：

npm install
node server.js

属于一个小型工具套件

secrets-leak-audit-mcp, mcp-trust-audit-mcp, github-actions-audit-mcp, dockerfile-audit-mcp.

许可证

MIT

更新 1.1.0（2026-10-01）

  • 新增工具 inspect_package_live 和 audit_dependencies_live：在实时 npm registry 中查询包。标记不存在的名称（幻觉生成或拼写错误）、全新且流量较低的包、安装脚本、已弃用的发行版以及拼写仿冒包。

评论

支持 Markdown

第一次接触 MCP？

从协议是什么，到在客户端里装上第一个服务，这几条回答覆盖了大多数入门问题。

一个开放协议，规定了 AI 应用如何以统一方式连接外部工具与数据源。客户端负责与模型对话，MCP 服务负责提供工具、资源和提示模板，两者通过标准消息通信，同一个服务可以被不同客户端复用。