trustlists

io.github.trustlists由 GitHub 账号 trustlists 发布v0.3.0更新于 Oct 31, 2026

Find public vendor trust centers, analyze SOC 2 reports, and request trust-center access.

已验证STDIO仅桌面开发者工具安全与监控

概览

AI 生成的概览

可搜索公开的厂商信任中心目录、把项目依赖映射到对应信任中心，并在登录后分析 SOC 2 报告、提交信任中心访问申请。

可以做什么
  • 按名称、域名、平台、所列框架或 CSA STAR 等级搜索、查询和浏览公开的厂商信任中心
  • 把项目清单文件（npm、Python、Go、Rust、Ruby、PHP）映射到公开的厂商信任中心
  • 通过设备码登录并查看当前会话
  • 分析本地 SOC 2 PDF，包含预览、状态查询和报告步骤
  • 填写申请人资料，并提交 SafeBase 或 Vanta 访问申请，可单个提交或一次最多五家批量提交
适用场景
适合在需要确认项目依赖清单中哪些厂商公开了信任中心时使用，也适合让助手查询某厂商公开列出的合规框架并申请其信任中心文档的访问权限。
运行要求
以本地 stdio 进程运行，通常由 MCP 客户端通过 npx 启动，因此需要 Node.js。搜索、查询、浏览和依赖审计工具无需账号。账号相关工具需要设备码登录，凭据保存在本机的本地认证文件中；托管端点版本改用 OAuth 登录。需要能访问 trustlists 服务的网络连接。
安装前请注意
登录后会在本机文件中保存会话凭据。SOC 2 分析会消耗额度，且需要显式确认步骤；访问申请在发送前同样需要确认。访问申请会把申请人资料提交给第三方厂商。目录标签仅反映公开记录所列内容，并不证明认证范围、有效性或安全质量。

安装

在 SourceWeft 中

  1. 打开 控制台中的 trustlists，将其添加到工作区。
  2. 为需要使用其工具的对话启用该服务。

Desktop only，通过 STDIO。 STDIO 服务会启动本地进程，因此需要 SourceWeft 桌面宿主。

其他 MCP 客户端

参照 仓库 中的启动说明。

README

@trustlists/mcp

MCP server that gives AI assistants access to the public trustlists directory, plus signed-in SOC 2 analysis and trust-center access requests.

This npm package powers the trustlists_ plugin for Cursor, Claude Code, and other Model Context Protocol clients.

Installation

You don't install this package directly. It is spawned by your MCP-aware AI client.

Cursor

The trustlists_ plugin handles installation. Or add it manually to ~/.cursor/mcp.json:

json
{  "mcpServers": {    "trustlists": {      "command": "npx",      "args": ["-y", "@trustlists/mcp"]    }  }}

Claude Desktop

Add to ~/Library/Application Support/Claude/claude_desktop_config.json (macOS) or %APPDATA%\Claude\claude_desktop_config.json (Windows):

json
{  "mcpServers": {    "trustlists": {      "command": "npx",      "args": ["-y", "@trustlists/mcp"]    }  }}

Tools

Free (no account)

ToolDescription
trustlists_searchSearch thousands of trust centers by name or domain
trustlists_lookupLook up a single vendor by exact domain
trustlists_browseFilter by platform, listed framework, or CSA STAR level
trustlists_audit_dependenciesMap project manifests to public vendor trust centers

Account

Sign in with trustlists_login (device code). Credentials are stored in ~/.trustlists/auth.json on this machine. The hosted endpoint at mcp.trustlists.org/mcp serves these tools after an OAuth sign-in instead, with SOC 2 uploads in the trustlists app (trustlists_soc2_upload) in place of local PDF paths.

ToolDescription
trustlists_login / logout / whoamiDevice-code sign-in and session
trustlists_soc2_analyze / status / reportAnalyze local SOC 2 PDFs (preview, then confirmCredits)
trustlists_requester_profileIdentity used on vendor access forms
trustlists_access_request / status / continueRequest SafeBase/Vanta access (preview, then confirm)
trustlists_access_request_batchSame, up to 5 vendors, one confirm

Directory labels show what a public record lists. They do not independently prove certification scope, validity, legal compliance, or security quality.

Supported manifest formats (audit tool)

  • package.json (npm/yarn/pnpm)
  • requirements.txt, pyproject.toml, Pipfile (Python)
  • go.mod (Go)
  • Cargo.toml (Rust)
  • Gemfile (Ruby)
  • composer.json (PHP)

License

Apache 2.0. See LICENSE and NOTICE.

Links

来源：packages/mcp/README.md，提交 7b6665f

工具

0
SourceWeft 尚未在沙箱中启动过该软件包，因此其工具未知。

版本历史

2
  1. v0.3.0最新Oct 3, 2026
  2. v0.2.1Sep 16, 2026

评分

已满足适用检查项的 50%

该评分衡量此收录条目的完整程度，依据注册中心条目、端点与公开来源计算得出。它不是对服务器本身的评价，也不表示服务器安全或当前可用：可连通性是带日期的检查结果，评分也不包含安装量或用户评价。

  • 近 30 天内可连通25 分

    请保持端点能够响应 MCP 握手；SourceWeft 每 30 天探测一次。

  • 已声明认证方式10 分

    请在注册中心条目中声明凭据请求头，或保持端点能够响应探测，以便判定其认证方式。

  • 已列出工具15 分

    请让服务器在无凭据时响应 tools/list，或发布可在沙箱中无凭据启动的软件包。

  • 描述必需15 分
  • 图标10 分
  • 文档15 分
  • 许可证10 分