GoMobSec

GoMobSec MCP 服务

面向 GoMobSec 的官方 Model Context Protocol 服务。使用它即可通过 Claude、Cursor、VS Code 或任何其他 MCP 客户端扫描 Android 和 iOS 应用中的安全问题。结果会映射到 OWASP MASVS、CWE 和 CVSS，你还可以下载完整的渗透测试风格报告。

You: Scan ./build/app-release.apk and tell me what to fix first.
AI:  start_scan → wait_for_scan → get_findings → a prioritised fix plan

无需安装即可在 Claude 中使用

GoMobSec 也会为你运行此服务，地址为 https://mcp.gomobsec.ai/mcp。在 Claude 中，前往 Settings → Connectors → Add custom connector，输入该 URL，然后使用 GoMobSec 账户登录（适用于 Professional 和 Enterprise 套餐）。设置、工具、安全和隐私方面的内容，请参阅 docs/HOSTED.md。

本页其余内容介绍本地服务，它会直接从磁盘读取应用，并使用 API 密钥进行身份验证。

要求

• GoMobSec 账户及 API 密钥。在 GoMobSec 的 API keys 下创建。Professional 和 Enterprise 套餐均包含 API 密钥。
• uv（推荐）或 Python 3.10+。

安装

此服务通过 stdio 在本地运行。API 密钥保存在你的设备上，服务会直接从磁盘读取 APK 或 IPA。

Claude Code

claude mcp add gomobsec --env GOMOBSEC_API_KEY=your-key -- uvx gomobsec-mcp

Claude Desktop、Cursor、Windsurf 等

将以下内容添加到客户端的 MCP 配置文件中。Claude Desktop 的配置文件为 claude_desktop_config.json；Cursor 的配置文件为 ~/.cursor/mcp.json。

{
  "mcpServers": {
    "gomobsec": {
      "command": "uvx",
      "args": ["gomobsec-mcp"],
      "env": { "GOMOBSEC_API_KEY": "your-key" }
    }
  }
}

VS Code

将以下内容添加到 .vscode/mcp.json。VS Code 会在首次使用时询问密钥，并对其进行安全存储：

{
  "inputs": [
    { "type": "promptString", "id": "gomobsec-key", "description": "GoMobSec API key", "password": true }
  ],
  "servers": {
    "gomobsec": {
      "command": "uvx",
      "args": ["gomobsec-mcp"],
      "env": { "GOMOBSEC_API_KEY": "${input:gomobsec-key}" }
    }
  }
}

如果不使用 uv，请运行 pip install gomobsec-mcp，并将 gomobsec-mcp 用作命令。

工具

工具	功能
whoami	密钥所属的账户和套餐
get_usage	本月已使用的扫描次数及套餐上限
list_scans	最近的扫描记录，按时间从新到旧排列
get_scan	单次扫描的状态；扫描完成后，还会显示按严重程度统计的问题数量
get_findings	显示问题的严重程度、CWE、MASVS 类别、CVSS、位置和描述。可按严重程度筛选；除非特别要求，否则会隐藏误报
start_scan	上传本地 .apk、.xapk、.apks、.apkm 或 .ipa 文件并启动扫描（quick、static 或 full）
wait_for_scan	等待扫描完成，并在此期间报告进度
download_report	将 DOCX、XLSX、JSON 或 SARIF 报告保存到下载文件夹

此外还有一个提示词 security_review，可将已完成的扫描转换为按优先级排序的修复计划。

在此启动的扫描会计入你的 GoMobSec 套餐用量，与通过 Web 应用或 CI 启动的扫描完全相同。扫描模式和限制以你的套餐所允许的内容为准。

配置

变量	默认值
GOMOBSEC_API_KEY	—	**必填。**你的 GoMobSec API 密钥
GOMOBSEC_DOWNLOAD_DIR	~/Downloads/gomobsec	download_report 唯一可写入的文件夹
GOMOBSEC_API_URL	https://api.gomobsec.ai	仅在使用专用或本地部署的 GoMobSec 时更改此项
GOMOBSEC_APP_URL	https://gomobsec.ai	报告链接的基础 URL

安全性

• 密钥始终保留在本地。 密钥从环境中读取，且只会通过 HTTPS 发送给 GoMobSec。它绝不会写入文件，也不会包含在工具输出中。
• 仅限上传应用包。 start_scan 只会发送移动应用包文件：扩展名正确、属于 zip 存档，且大小不超过 250 MB。 它无法用于上传你计算机上的其他文件。
• 下载绝不覆盖文件。 download_report 不接受路径。它会将新文件（模式 0600）写入 GOMOBSEC_DOWNLOAD_DIR，且绝不会替换现有文件。
• 发现内容视为不可信数据。 标题和描述可能包含来自被扫描应用的字符串，而这些内容由应用作者控制。服务器会剥离控制字符和双向文本字符，将文本保留在围栏数据块中，并告知模型将其视为数据。不过，在阅读不可信应用的扫描结果后，请检查助手的行为。
• 访问权限仅限于你自己的扫描。 此密钥只能查看其所属账户或组织中的扫描结果。你可以随时在 GoMobSec 中撤销密钥。

如需报告漏洞，请参阅 SECURITY.md。

隐私

本地服务不会保留任何内容。它会从环境中读取 API 密钥，只向 GoMobSec 发送请求，并且只写入你要求的报告。 GoMobSec 如何处理你扫描的应用，请参阅 GoMobSec 隐私政策。对于托管连接器，请参阅其隐私政策。

开发

python -m venv .venv && . .venv/bin/activate
pip install -e ".[test]"
pytest

使用 MCP Inspector 进行试用：npx @modelcontextprotocol/inspector gomobsec-mcp。

托管连接器的测试（tests/test_hosted.py）会在空闲端口上运行真实的 HTTP 服务器，并完整执行 OAuth 流程，同时模拟 GoMobSec 一侧。

发布

1. 更新 src/gomobsec_mcp/__init__.py 中的版本，以及 server.json 中的两个 version 字段（测试和发布工作流会检查它们是否一致），并在 CHANGELOG.md 中添加条目。
2. 发布一个标记为 vX.Y.Z 的 GitHub 版本。Publish 工作流会对其进行测试和构建，将其上传到 PyPI（Trusted Publishing），随后将其列入 MCP Registry（GitHub OIDC）。仓库中不会存储任何令牌。

许可证

MIT