IAC Audit Pack

难以承受的 IaC 审计包

难以承受的 IaC 审计包 — 将全部 4 个审计 Actor 集成在一个 MCP 端点下。审计范围可媲美 Snyk，成本却只有其一小部分。按调用次数付费 — 只有实际调用工具时才会计费。

64 项检查。20 个类别。4 个审计引擎。1 个 MCP 端点。

---

包含内容

套件	检查项	类别	主要工具
Docker Compose 审计	25	9	audit_compose
Dockerfile 审计	19	5	audit_dockerfile
GitHub Actions 审计	21	6	audit_github_actions
HU 邮政编码验证器	5 个工具	—	validate_postcode、lookup_city、…

另含两个仅限组合包使用的工具：

• audit_all — 粘贴一个“文件名 → 内容”的字典；自动检测 Dockerfile、compose 和工作流文件，并对每个文件运行相应审计
• list_all_checks — 一次调用即可获取跨套餐的完整检查目录

快速开始（Claude Desktop）

{
  "mcpServers": {
    "iac-audit-pack": {
      "type": "http",
      "url": "https://unbearable-dev--iac-audit-pack.apify.actor/mcp",
      "headers": {
        "Authorization": "Bearer <your-apify-token>"
      }
    }
  }
}

工具目录

汇总（仅限组合包）

工具	说明
audit_all(files, min_severity?)	多文件检测 + 综合审计报告
list_all_checks()	三个审计套餐中的全部 64 项检查

Docker Compose（25 项检查，9 个类别）

工具	说明
audit_compose(compose_yaml?, compose_url?, min_severity?)	完整的 25 项检查审计
check_privilege	特权模式、cap_add、用户命名空间
check_network	主机网络、暴露的危险端口
check_secrets	硬编码密码、环境变量中的令牌
check_filesystem	Docker 套接字挂载、主机路径挂载
check_resources	缺少内存/CPU 限制
check_image_hygiene	未固定标签、使用 latest
check_runtime_lifecycle	重启策略、健康检查
check_logging	日志驱动程序配置
check_compose_hygiene	版本字段、服务命名
list_checks_compose(category?)	检查目录

Dockerfile（19 项检查，5 个类别）

工具	说明
audit_dockerfile(dockerfile_content?, dockerfile_url?, min_severity?)	完整的 19 项检查审计
check_base_image_dockerfile	未固定的基础镜像、latest、FROM 中的 root 用户
check_instructions_dockerfile	ADD 与 COPY、COPY 顺序、ENV 密钥
check_security_dockerfile	USER root、权限提升模式
check_efficiency_dockerfile	层数、缓存失效
check_secrets_dockerfile	RUN/ENV/ARG 中的硬编码密钥
list_checks_dockerfile(category?)	检查目录

GitHub Actions（21 项检查，6 个类别）

工具	说明
audit_github_actions(workflow_yaml?, workflow_url?, min_severity?)	完整的 21 项检查审计
check_secrets_gha	泄露的令牌、run: 块中的密钥
check_permissions_gha	过于宽泛的 write-all 权限
check_action_pinning_gha	未固定的操作引用（未固定到 SHA）
check_runner_security_gha	自托管 Runner 风险
check_workflow_config_gha	滥用 pull_request_target、脚本注入
check_supply_chain_advanced_gha	TeamPCP 级供应链模式（GHA-201..208）
list_checks_github_actions(category?)	检查目录

HU 邮政编码验证器（5 个工具）

工具	说明
validate_postcode(postcode)	查询 HU 邮政编码对应的聚居地和州
lookup_postcode(postcode)	validate_postcode 的别名
lookup_city(city)	查询某城市的所有邮政编码（不区分变音符号）
validate_address(postcode, city)	验证邮政编码与城市是否匹配
list_postcodes_in_county(county_name)	查询某州的所有邮政编码
budapest_district_lookup(district_number)	布达佩斯 I-XXIII 区 → 邮政编码

定价

事件	USD
audit_all 或任何单域审计调用	$0.10
单域审计（audit_compose、audit_dockerfile、audit_github_actions）	$0.05
list_checks / 发现调用	$0.005

按事件付费——无需订阅，也没有月度最低消费。仅在调用工具时付费。

架构

包导入（而非代理）：所有四个子包都直接打包到 Actor 映像中。 一次冷启动、一条计费通道，无跨 Actor 延迟。 完整说明请参阅 DESIGN.md。

---

由 Unbearable Labs 的 Noel 构建——欢迎订阅每周通讯，了解更多类似内容。