ScriptProbe MCP

讓助手在你執行 npm install 之前檢查 npm 套件的安裝指令碼與發佈者變更。

功能

ScriptProbe 提供一個工具 check_package_scripts(name, version?)，用來回報某個 npm 套件在安裝時執行的指令碼、每個指令碼是否連上網路或啟動行程，以及最新版本的發佈帳號是否與前十个版本不同。它適合在安裝未曾使用過的套件之前執行。高判定結果代表該指令碼值得閱讀，並不證明該套件是惡意軟體；例如 esbuild 會得到高判定，因為它的 postinstall 會下載平台二進位檔。

適用情境

當你準備安裝不熟悉的 npm 套件，想快速了解其安裝指令碼做什麼、發佈者是否近期變更時使用。它是安裝前檢查，不是通用的弱點掃描器。

執行需求

以本機 stdio 行程執行，通常透過 npx scriptprobe-mcp 啟動；需要 Node.js 與網路存取。不需要 API 金鑰、註冊、環境變數或標頭。也可在本機連接埠提供 streamable HTTP 服務。