Package check for coding agents (x402)

com.onrender.package-check-qy40由 package-check-qy40.onrender.com 发布官方发布者v0.4.0更新于 Oct 25, 2026

Check PyPI/npm packages or a whole lockfile before install: CVEs, typosquats, verdict. 50 free.

已验证Streamable HTTP可网页运行开发者工具安全与监控

概览

AI 生成的概览

远程 MCP 服务器，在代理安装前检查 PyPI 和 npm 包或整个锁文件，给出 CVE、仿冒包和安装结论。

可以做什么
检查包或锁文件：对每个唯一包给出一个结论，格式支持时附带行号，涵盖包是否存在、CVE 和仿冒包风险，支持 requirements.txt、poetry.lock、uv.lock、Pipfile.lock、package-lock.json、pnpm-lock.yaml 和 yarn.lock 格式。运行免费自检：用已发布的 11 个已知答案用例对实时仓库重放，返回分数和 sha256，便于在付费前验证检查是否有效。
适用场景
当编码代理即将执行 pip install 或 npm install，需要先对单个包或整个锁文件获得安装前安全结论，并希望在付费前确认检查器可用时使用。
运行要求
远程 streamable HTTP 端点；未声明本地运行时、账户、API 密钥或请求头。付费检查按包以 USDC 在 Base 上通过 x402 计费，因此需要能支付 x402 费用的钱包；自检免费。
安装前请注意
付费检查通过 x402 在 Base 上按每包 0.002 USDC 收费，使用真实资金需要已充值的钱包，包含大量包的锁文件会按包累计费用。自检免费，应先运行。包名和锁文件内容会发送到远程服务。

安装

在 SourceWeft 中

  1. 打开 控制台中的 Package check for coding agents (x402)，将其添加到工作区。
  2. 为需要使用其工具的对话启用该服务。

Web executable，通过 Streamable HTTP。 远程服务在工作区中配置后即可从网页运行时运行。

交给智能体安装

把这段提示词粘贴到 Claude Code、Codex、Cursor 等智能体，或 SourceWeft 对话中。智能体会读取该服务器的安装指南，先向你展示发布者、端点和登录方式，经你同意后再把它添加到你的客户端。密钥不会写进任何命令。

阅读 https://sourceweft.com/mcp/com.onrender.package-check-qy40%2Fpackage-check/install.md，并按其中说明把这个 MCP 服务器接入我的客户端。修改任何配置之前，先告诉我它的发布者、端点和登录方式，等我确认。不要把 API 密钥写进命令或我会提交的文件；问我密钥应从哪里获取。

查看智能体所依据的安装指南

其他 MCP 客户端

把它添加到你客户端的 mcpServers 配置中。

{
  "mcpServers": {
    "package-check-for-coding-agents-x402": {
      "type": "http",
      "url": "https://package-check-qy40.onrender.com/mcp"
    }
  }
}

工具

2

check_packages

Package check before pip/npm install (paid, x402)

Before your agent runs pip install or npm install, check a package list or a whole lockfile (requirements.txt, poetry.lock, uv.lock, Pipfile.lock, package-lock.json, pnpm-lock.yaml, yarn.lock; one verdict per unique package, with line numbers where the format has them). Per package: does it exist, age, releases, downloads, known vulnerabilities (OSV) for the given or latest version, typosquat and slopsquat signals, install scripts; verdict ok, caution or block with reasons. PyPI and npm. A clean ok is not a guarantee. Costs $0.002 USDC per package on Base via x402: the first call without payment returns the payment requirements; pay with an x402-capable MCP client (_meta['x402/payment']) or call POST https://package-check-qy40.onrender.com/check over HTTP x402. Free trial: the first 50 packages per payer wallet are free; sign as usual, the server verifies the signature and does not settle; the result shows free_trial_remaining. About 50: the counter is in memory and resets on restart.

输入参数limitlockfilepackagesinclude_devlockfile_format

selftest

Free self-test

Free. Replays the published known-answer set v1 (11 cases) against the live registries and returns score and sha256, so you can verify the check before paying.

输入参数details

版本历史

1
  1. v0.4.0最新Oct 25, 2026

评分

已满足适用检查项的 72%

该评分衡量此收录条目的完整程度，依据注册中心条目、端点与公开来源计算得出。它不是对服务器本身的评价，也不表示服务器安全或当前可用：可连通性是带日期的检查结果，评分也不包含安装量或用户评价。

  • 近 30 天内可连通必需25 分
  • 已声明认证方式必需10 分
  • 已列出工具必需15 分
  • 描述必需15 分
  • 图标10 分

    请在注册中心条目中发布图标。

  • 文档15 分

    请声明包含 README 的 GitHub 仓库，或在 OAuth 受保护资源元数据中提供 resource_documentation。

  • 许可证不适用

    托管服务按其提供方的条款使用，因此这里不要求许可证。此检查项不计入百分比。