DepScope

dev.depscope由 depscope.dev 发布官方发布者v0.9.24更新于 Oct 24, 2026

Package intelligence MCP for AI agents — 22 tools, 19 ecosystems, AGPL SDK, free.

已验证Streamable HTTP可网页运行开发者工具安全与监控

概览

AI 生成的概览

DepScope 是一个包情报 MCP 服务器，让助手在安装前跨 19 个生态验证软件包。

可以做什么
检查软件包：是否存在、是否弃用、健康评分、最新版本，以及为废弃包提供精选替代方案，并支持跨生态（npm、PyPI、Cargo、Go、Maven 等）对比健康度、许可证和漏洞。评估风险：来自 OSV 的未修复 CVE 及 KEV/EPSS 信号、仿冒包名称相似度检查和依赖栈兼容性检查。规划升级：版本间的破坏性变更与迁移方案、来自 GitHub issue 的已知缺陷。排查问题：将错误信息映射到可能原因与修复方法，并跨生态搜索相似错误报告。
适用场景
当 AI 编程助手安装或升级依赖时，希望在进入项目之前拦截虚构、已弃用或仿冒的包名；或需要比较库、规划迁移时使用。
运行要求
可使用 mcp.depscope.dev 远程端点，或通过 npx 运行本地 npm 包 depscope-mcp（需要 Node.js）。未声明认证、API 密钥或环境变量；需要能访问 DepScope 后端的网络。
安装前请注意
服务器在握手时会向客户端发送系统提示指令，要求模型主动调用，从而在无需手动规则文件的情况下改变助手行为。查询的包名和错误信息会发送给第三方 depscope.dev 后端。后端为专有实现，README 说明 0.9.0 以下的 npm 版本已弃用。

安装

在 SourceWeft 中

  1. 打开 控制台中的 DepScope，将其添加到工作区。
  2. 为需要使用其工具的对话启用该服务。

Web executable，通过 Streamable HTTP。 远程服务在工作区中配置后即可从网页运行时运行。

交给智能体安装

把这段提示词粘贴到 Claude Code、Codex、Cursor 等智能体，或 SourceWeft 对话中。智能体会读取该服务器的安装指南，先向你展示发布者、端点和登录方式，经你同意后再把它添加到你的客户端。密钥不会写进任何命令。

阅读 https://sourceweft.com/mcp/dev.depscope%2Fmcp/install.md，并按其中说明把这个 MCP 服务器接入我的客户端。修改任何配置之前，先告诉我它的发布者、端点和登录方式，等我确认。不要把 API 密钥写进命令或我会提交的文件；问我密钥应从哪里获取。

查看智能体所依据的安装指南

其他 MCP 客户端

把它添加到你客户端的 mcpServers 配置中。

{
  "mcpServers": {
    "depscope": {
      "type": "http",
      "url": "https://mcp.depscope.dev/mcp"
    }
  }
}

README

DepScope MCP Server

[npm version] [License: AGPL-3.0] [MCP Compatible]

Package intelligence MCP server for AI agents. Stops AI coding agents (Claude, ChatGPT, Cursor, Windsurf, Copilot) from installing hallucinated, deprecated, or malicious packages across 19 ecosystems.

→ Backed by depscope.dev — 1.2M+ packages indexed, 19,000+ vulnerabilities tracked, real-time.

What's new in v0.9.0

The MCP server now sends a system-prompt directive to your AI client at handshake (server.instructions). Claude Code, Cursor, Windsurf and other MCP clients receive a proactive-invocation brief automatically — manual rule files (CLAUDE.md, .cursorrules, .windsurfrules) are now optional. Existing rules still work; they're just redundant.

What the model sees at every session start:

  • The 19-ecosystem coverage list
  • An "INVOKE PROACTIVELY" directive with explicit triggers (install, version bump, lockfile change, "module not found" errors, library comparison)
  • Three pillars: token-saving, energy-saving, security
  • Standard invocation flow: check_malicious → check_typosquat → check_package → install_command

For Claude Code there is also a companion plugin that bundles the MCP server with a skill carrying rich frontmatter triggers:

bash
git clone https://github.com/cuttalo/depscope-claude-plugin ~/.claude/plugins/depscope

All npm versions <0.9.0 are now deprecated. Run npm update -g depscope-mcp if you installed globally.

Why this exists

LLMs frequently invent package names that look real but don't exist (fastapi-turbo, lodahs, tokio-stream-extras). When an agent tries to install one, it might hit an attacker's typosquat. DepScope verifies every package before install.

Quick start

Claude Desktop / Cursor / Windsurf (remote MCP)

Add to your MCP config:

json
{  "mcpServers": {    "depscope": {      "url": "https://mcp.depscope.dev/mcp"    }  }}

Local (stdio via npx)

json
{  "mcpServers": {    "depscope": {      "command": "npx",      "args": ["-y", "depscope-mcp"]    }  }}

Tools (22)

ToolPurpose
check_packageFull package check: deprecated/CVE/health/recommendation
get_health_score0-100 score with breakdown (maintenance/popularity/security/maturity/community)
get_vulnerabilitiesOpen CVEs from OSV + KEV/EPSS
package_existsHallucination detector (404 = LLM invented it)
find_alternativesCurated alternatives for deprecated/abandoned packages
get_typosquatSuspicious name similarity check
get_breaking_changesMigration plan between versions
get_bugsKnown bugs from GitHub issues
compare_packagesSide-by-side health/license/vuln comparison
resolve_errorMap error message → likely cause + fix
search_errorsFind similar error reports across ecosystems
check_compatStack compatibility check
get_latest_versionLatest stable + maturity signal
... and 9 morefull list in tools.js

Ecosystems (19)

npm · pypi · cargo · go · composer · maven · nuget · rubygems · pub · hex · swift · cocoapods · cpan · hackage · cran · conda · homebrew · jsr · julia

Pricing

Free. No auth required. Generous rate limits. The MCP server is open-source (AGPL-3.0); the backend (depscope.dev API) is proprietary.

License

AGPL-3.0-or-later. Backend is proprietary; this client is open.

Links

来源：README.md，提交 56861c4

工具

0
SourceWeft 尚未读取此服务器的工具。

版本历史

1
  1. v0.9.24最新Sep 16, 2026

评分

已满足适用检查项的 75%

该评分衡量此收录条目的完整程度，依据注册中心条目、端点与公开来源计算得出。它不是对服务器本身的评价，也不表示服务器安全或当前可用：可连通性是带日期的检查结果，评分也不包含安装量或用户评价。

  • 近 30 天内可连通必需25 分
  • 已声明认证方式必需10 分
  • 已列出工具必需15 分

    请让服务器在无凭据时响应 tools/list，或发布可在沙箱中无凭据启动的软件包。

  • 描述必需15 分
  • 图标10 分
  • 文档15 分
  • 许可证10 分

    请在仓库或注册中心条目中声明许可证。