TrustScan

io.github.entradox由 GitHub 帳號 entradox 發布v0.1.0更新於 Oct 24, 2026

Security scanner for MCP servers and skills: Unicode injection, patterns, secrets.

發布方自己的服務：scan.mx Email Diagnostics

已驗證Streamable HTTP可網頁執行開發者工具安全與監控

服務詳細資訊

識別碼: io.github.entradox/trust-scan
傳輸: Streamable HTTP
執行環境: Web executable
信任: Verified
發布於: Sep 16, 2026

安全提示

MCP 服務會接收對話中的工具呼叫請求，並可能執行外部操作。啟用前請先了解該服務能做什麼，並只授予它所需的權限。

註冊中心已驗證此條目所屬的 GitHub 帳號 entradox。這並不表明該帳號就是產品方。

SourceWeft 的檢查只涵蓋條目是否完整、端點是否回應；不審查伺服器的程式碼，也不審查其工具的行為。

在 README 中新增徽章

向讀者展示該 MCP 服務已收錄於 SourceWeft，徽章連結到本頁。

[![Listed on SourceWeft](https://sourceweft.com/badge/mcp/io.github.entradox%2Ftrust-scan.svg)](https://sourceweft.com/mcp/io.github.entradox%2Ftrust-scan?utm_source=readme&utm_medium=badge)

概覽

AI 產生的概覽

TrustScan 是遠端安全掃描器，讓助理在信任某個 MCP 伺服器、技能包或單一檔案之前，檢查其中的提示注入、危險程式碼、金鑰與仿冒套件名稱。

可以做什麼: 掃描整個 MCP 伺服器或技能包目錄，執行全部四項檢查並回傳 0-100 評分、字母等級與詳細發現（trust_scan_server）。
適用情境: 在安裝或信任第三方 MCP 伺服器或技能包之前使用，或需要對單一檔案做唯讀檢查，排查隱藏 Unicode、危險程式碼模式或硬編碼金鑰時使用。
執行需求: 遠端 streamable HTTP 端點；未宣告任何套件、帳號、API 金鑰或標頭。掃描器會讀取執行所在機器上的目錄與檔案，因此需要能存取目標路徑。

安裝前請注意

掃描會讀取目標檔案，結果中可能暴露硬編碼的金鑰。請將報告中出現的金鑰視為敏感資訊，避免轉貼到其他地方。掃描被描述為唯讀，不會修改檔案。

安裝

在 SourceWeft 中

開啟儀表板中的 TrustScan，將其新增到工作區。
為需要使用其工具的對話啟用該服務。

Web executable，透過 Streamable HTTP。遠端服務在工作區中設定後即可從網頁執行環境執行。

交給代理程式安裝

把這段提示詞貼上到 Claude Code、Codex、Cursor 等代理程式，或 SourceWeft 對話中。代理程式會讀取該伺服器的安裝指南，先向你展示發布者、端點和登入方式，經你同意後再把它新增到你的客戶端。金鑰不會寫進任何命令。

閱讀 https://sourceweft.com/mcp/io.github.entradox%2Ftrust-scan/install.md，並按其中說明把這個 MCP 伺服器接入我的客戶端。修改任何設定之前，先告訴我它的發布者、端點和登入方式，等我確認。不要把 API 金鑰寫進命令或我會提交的檔案；問我金鑰應從哪裡取得。

檢視代理程式所依據的安裝指南

其他 MCP 客戶端

把它新增到你客戶端的 mcpServers 設定中。

{
  "mcpServers": {
    "trustscan": {
      "type": "http",
      "url": "https://trust-scan-production.up.railway.app/mcp/"
    }
  }
}

README

該儲存庫沒有 README。

工具

trust_scan_server

Scan MCP Server or Skill Package

Security-scan an MCP server or skill package before trusting it. Runs all four checks — invisible Unicode prompt-injection, dangerous code patterns (MCP001–006), hardcoded secrets, typosquat package names — and returns a 0-100 score, letter grade, and detailed findings. Run this on any directory BEFORE wiring it into your agent. Read-only: never modifies the scanned target.

輸入參數path必填package_name

trust_scan_file

Scan Single File

Security-scan a single file for invisible Unicode, dangerous patterns, and secrets. Returns a severity-weighted score and per-finding detail (rule, severity, location). Read-only: the file is never modified.

輸入參數filepath必填

skills_list_tool

Skills List Tool

List this product's skills. Each entry carries the SKILL.md URI, its name and description, verbatim frontmatter, and a per-file sha256 manifest. Read a body with `read_skill`.

無需輸入參數。