Mcpshield

io.github.MCPShield-Dev由 GitHub 账号 MCPShield-Dev 发布v2.0.2更新于 Oct 24, 2026

Security scanner for MCP servers - detects tool poisoning and injection

已验证STDIO仅桌面开发者工具安全与监控

概览

AI 生成的概览

MCPShield CLI 是一个本地命令行安全扫描器，用于检查 MCP 服务器和 GitHub 仓库中的工具投毒与注入风险。

可以做什么
  • 按 URL 扫描远程 HTTP MCP 服务器中的安全漏洞
  • 扫描 GitHub 仓库中的安全问题
  • 按严重程度筛选结果，并输出 JSON 供 CI/CD 使用
  • 通过退出码区分无关键问题、错误和存在关键问题三种结果
  • 使用 API 密钥认证，也可指向自托管的 API 端点
适用场景
适合在把某个 MCP 服务器或仓库接入助手之前做安全审查，也适合在 CI/CD 流程中对 MCP 端点做自动化安全检查。
运行要求
以本地进程方式运行，通过 npm 包 mcpshield-cli 安装，需要 Node.js。需要 API 密钥，可通过 auth 命令或环境变量 MCPSHIELD_API_KEY 提供；MCPSHIELD_API_URL 可指向自托管端点。需要能访问扫描服务以及被扫描的目标。
安装前请注意
API 密钥属于凭据：它由 auth 命令保存或通过 MCPSHIELD_API_KEY 传入，应避免写入共享配置或日志。被扫描的 URL 和仓库地址会发送到 MCPShield 服务，除非自托管，否则该服务为第三方。退出码 1 表示密钥无效、触发限流或扫描失败，应视为错误而非无问题。

安装

在 SourceWeft 中

  1. 打开 控制台中的 Mcpshield，将其添加到工作区。
  2. 为需要使用其工具的对话启用该服务。

Desktop only，通过 STDIO。 STDIO 服务会启动本地进程，因此需要 SourceWeft 桌面宿主。

其他 MCP 客户端

参照 仓库 中的启动说明。

README

MCPShield CLI

Scan MCP servers and GitHub repositories for security vulnerabilities.

Powered by MCPShield — the MCP security scanner with 59+ detection rules covering the OWASP MCP Top 10.

Install

bash
npm install -g mcpshield

Setup

Get a free API key at mcpshield.co/settings, then:

bash
mcpshield auth mcp_sk_your_key_here

Usage

bash
# Scan an HTTP MCP servermcpshield scan --url https://mcp-server.example.com/mcp
# Scan a GitHub repositorymcpshield scan --github https://github.com/user/repo
# JSON output (for CI/CD)mcpshield scan --url https://mcp-server.example.com/mcp --json
# Filter by severitymcpshield scan --url https://mcp-server.example.com/mcp --severity high

Exit Codes

  • 0 — Scan completed, no critical findings
  • 1 — Error (invalid key, rate limit, scan failure)
  • 2 — Scan completed with critical findings

Environment Variables

  • MCPSHIELD_API_KEY — API key (alternative to mcpshield auth)
  • MCPSHIELD_API_URL — Custom API endpoint (for self-hosted)

License

MIT

来源：README.md，提交 bdfa0f1

工具

0
SourceWeft 尚未在沙箱中启动过该软件包，因此其工具未知。

版本历史

1
  1. v2.0.2最新Sep 16, 2026

评分

已满足适用检查项的 40%

该评分衡量此收录条目的完整程度，依据注册中心条目、端点与公开来源计算得出。它不是对服务器本身的评价，也不表示服务器安全或当前可用：可连通性是带日期的检查结果，评分也不包含安装量或用户评价。

  • 近 30 天内可连通25 分

    请保持端点能够响应 MCP 握手；SourceWeft 每 30 天探测一次。

  • 已声明认证方式10 分

    请在注册中心条目中声明凭据请求头，或保持端点能够响应探测，以便判定其认证方式。

  • 已列出工具15 分

    请让服务器在无凭据时响应 tools/list，或发布可在沙箱中无凭据启动的软件包。

  • 描述必需15 分
  • 图标10 分
  • 文档15 分
  • 许可证10 分

    请在仓库或注册中心条目中声明许可证。