Compuute Scan MCP Server安装配置 GitHub与使用方法

选型结论

Compuute Scan 属于安全风控类 MCP Server，公开资料标注 0 个工具，通过stdio 本地进程接入，客户端适配情况以官方文档为准，有可以直接复制的安装命令；接入前要先准备 OAuth 授权。

分类

安全风控

传输方式

stdio

认证方式

OAuth 授权

部署方式

公开资料未说明

安装与配置

安装命令

npx compuute-scan ./path/to/mcp-server

客户端配置示例

{
  "mcpServers": {
    "compuute-scan": {
      "command": "npx",
      "args": [
        "compuute-scan",
        "./path/to/mcp-server"
      ]
    }
  }
}

按公开安装命令拼出来的示例，字段名和参数以仓库 README 为准；带 YOUR_API_KEY 这类占位符的位置记得换成自己的值。

上手步骤

1
准备运行环境
stdio 服务在本地起进程，需要先装好 Node.js，再按安装命令拉取依赖。
2
安装服务
复制下面的安装命令执行；命令里带占位符的位置换成自己的密钥或路径。
3
写入客户端配置
在客户端的 MCP 配置里填启动命令和参数，保存后完全退出客户端再打开，让新配置生效。
4
验证是否可用
连接成功后客户端会列出 0 个工具，随便调一个只读工具确认能返回结果。

接入前确认

不要直接授予不必要的文件、网络或账号权限；先核对安装命令和配置内容。

详细介绍

复合扫描

MCP服务器的开源安全扫描程序。使用官方MCP SDK检测所有语言的沙盒、代码执行、依赖关系和供应链风险：TypeScript、JavaScript、Python、Go、Rust、C#、Java和Kotlin。零依赖。

v0.6.0--现在使用。NET、Java和Kotlin支持。 与该官员一同获释微软MCP C#SDK v1.0 （2026年3月）和官方Java/Spring MCP SDK。第一个使用官方MCP SDK覆盖所有语言的安全扫描程序。

______________________________________________________________________

它的作用

compuute-scan 在部署之前分析MCP（模型上下文协议）服务器源代码的安全漏洞。它完全离线运行，不需要API密钥，并涵盖 L0发现, L1喷砂，以及 依赖级别风险 --每个MCP服务器所需的基础安全层。

通过官方MCP SDK支持每种语言： TypeScript、JavaScript、Python、Go、Rust、C#、Java和Kotlin。符合MCP 2025-11-25规范，与官方Microsoft C#SDK、Java/Spring SDK和社区TypeScript/Python/Go/Rust SDK兼容。

快速开始

npx compuute-scan ./path/to/mcp-server

或者使用Docker隔离（建议用于客户端代码）：

git clone https://github.com/Compuute/compuute-scan.git
cd compuute-scan
docker compose build
./scan.sh clone https://github.com/org/mcp-server.git
./scan.sh run mcp-server --output audit-report.md

安装

# npm (global)
npm install -g compuute-scan

# npx (no install)
npx compuute-scan ./mcp-server

# Docker (isolated scanning)
git clone https://github.com/Compuute/compuute-scan.git
cd compuute-scan
docker compose build

要求： Node.js 18+。不 npm install 需要——零外部依赖。

它扫描什么

VIGIL安全层

图层	焦点	可用性
10个	发现——传输检测、工具清单、依赖关系固定	开源
L1级	沙盒-- `eval()`, `exec.Command`, `pickle.loads`，路径遍历，CORS，SSL旁路	开源
二级	授权——RBAC、机密、JWT、PII/GDPR、加密	计算机专业审计
三级	工具完整性——SSRF、SQL注入、快速注入、供应链	计算机专业审计
L4	监控——审计日志记录、速率限制、错误泄漏、ReDoS	计算机专业审计

开源规则（L0+L1）

每个文件37条规则+2条否定规则+3项依赖性检查 涵盖代码执行、沙盒、发现和供应链：

类别	示例
代码执行	`eval()`, `exec.Command`, `pickle.loads`, `yaml.load`, `Runtime.exec`, `Process.Start`
反序列化	`BinaryFormatter`, `ObjectInputStream`, `SoapFormatter` --禁止。NET和Java接收器
路径遍历	未初始化的文件路径，丢失 `realpath()` 检查
CORS配置错误	通配符起源于Express、Starlette、rs/cors、ASP。NET核心 `AllowAnyOrigin`，春天 `@CrossOrigin`
SSL/TLS旁路	`verify=False`, `rejectUnauthorized: false`, `InsecureSkipVerify`, `danger_accept_invalid_certs`
SQL注入	Python f-string，Go `fmt.Sprintf`，生锈 `format!()`C `SqlCommand`，Java JDBC字符串连接
命令注入	在所有8种语言中使用不受信任的输入执行Shell
认证旁路 C `[AllowAnonymous]`，春天 `permitAll()` 关于敏感端点
内存安全	生锈 `unsafe {}` 块，缺失 `#[deny(unsafe_code)]`
不安全随机	`Math.random()`, `random.choices()`, `rand.Intn()` 用于安全上下文
模板注入	去吧 `text/template` 用于HTML输出
安全标头	头盔/安全头中间件缺失
已知CVE（离线）	40多个顶级npm/PyPI/Go包，包含精心策划的易受攻击版本范围
依赖年龄	在当前版本之后打包两个或多个主要版本
许可证合规性	Copyleft许可证（GPL、AGPL、LGPL、SSPL） `node_modules`
发现	运输检测、工具库存、跨8个包管理器的依赖性锁定

语言特定规则

语言	MCP SDK状态	密钥检测
Types/JS	官方（人物）	`eval`, `child_process`CORS、npm钩子、未固定的git deps
python	官方（人物）	`pickle`、YAML不安全加载、f-string SQL、Starlette CORS、， `verify=False`
去	官方	`exec.Command`+sh， `fmt.Sprintf` SQL， `InsecureSkipVerify`, `text/template` XSS， `rs/cors`
锈	官方	`unsafe {}`, `Command::new` + `format!`，SQL通过 `format!`, `danger_accept_invalid_certs`
C网	官方（微软，2026年3月）	`Process.Start`, `SqlCommand` 海螺， `[AllowAnonymous]`, `BinaryFormatter`, `AllowAnyOrigin`
Java	官方（Spring/Java）	`Runtime.exec`JDBC连接， `ObjectInputStream`，春天 `permitAll`, `@CrossOrigin(*)`
Kotlin	通过Java SDK	与Java相同——JDBC、ObjectInputStream、Spring安全

解析的依赖关系文件

package.json, requirements.txt, pyproject.toml, go.mod, Cargo.toml, .csproj, pom.xml, build.gradle, build.gradle.kts.

警卫检测

扫描仪检查 ±15线窗口 围绕缓解模式的每个发现(validatePath(), sanitize(), realpath()等等）。报告中仍有缓解的发现，严重程度降低了一级——没有什么隐藏的，但噪音减少了。

负面检查

检测缺席整个代码库的安全控制：没有输入验证（zod/pydantic），没有安全头（helm）。仅靠模式匹配无法捕捉到的架构风险。

全面安全评估

开源扫描程序涵盖了基础的L0-L1风险和依赖性级别检查。生产MCP部署，特别是那些受NIS2、DORA或GDPR约束的部署，需要通过跨文件污染跟踪和合规性证据进行更深入的分析：

层	你得到什么	分析
L2授权	RBAC、秘密管理、JWT/OAuth、PII/GDPR合规性、弱加密	知识图驱动
L3工具完整性	SSRF、注射、即时中毒、反应中的PII、供应链	毒物跟踪
L4运行时监控	审计日志记录、速率限制、错误泄漏、ReDoS	跨文件行为

OWASP Top 10（10/10）。NIS2第21条（7/7）。GDPR（6/6）。多拉（4/7）。 开源层标识。审计层跟踪攻击路径，生成可归档的合规性证据，并根据可达性（而不仅仅是存在性）进行优先级排序。

预订计算专业审计 --完整的L0-L4评估，包括OWASP、NIS2、GDPR和DORA的合规性映射。

Docker隔离扫描

对于客户参与， scan.sh 提供了一个强化的工作流程，扫描的代码永远不会接触到主机文件系统：

┌──────────────┐         ┌──────────────────────┐
│  clone       │         │  scan                │
│  (git only)  │────────▶│  --network none      │
│  bridge net  │  volume │  read-only fs        │
└──────────────┘         │  cap_drop ALL        │
                         │  no-new-privileges   │
                         │  512MB / 1 CPU       │
                         └──────────────────────┘

属性	克隆容器	扫描容器
网络	网桥（仅限git）	无 --零网络堆栈
文件系统	只读+tmpfs	只读
功能	仅限NET_RAW	都掉下来了
用户	非root(`scanner`)	非根(`scanner`)
资源	0.5个CPU，256MB	1个CPU，512MB

./scan.sh clone https://github.com/org/mcp-server.git   # Clone to isolated volume
./scan.sh run mcp-server --output audit.md               # Scan — zero network
./scan.sh local ~/code --output local-audit.md           # Scan local dir (mounted :ro)
./scan.sh list                                            # List cloned repos
./scan.sh clean mcp-server                                # Remove client code

CLI选项

compuute-scan 
 [options]

  --output, -o         Write report to file
  --json                     Output as JSON
  --sarif                    Output as SARIF (GitHub Code Scanning)
  --layer             Filter by VIGIL layer
  --min-severity      Filter: critical, high, medium, low
  --fail-on-severity  Exit code 1 if findings >= severity (for CI)
  --verbose                  Show files being scanned
  --help, -h                 Show help

CI集成

# GitHub Actions example
- run: npx compuute-scan ./src --fail-on-severity high --sarif --output results.sarif
- uses: github/codeql-action/upload-sarif@v3
  with:
    sarif_file: results.sarif

添加规则

从v0.5.0开始，扫描仪按以下模块组织 src/ 并连接成 compuute-scan.js 通过 scripts/build.js。不要编辑顶级 compuute-scan.js 直接生成输出。

规则活在 src/rules-l1.js 作为对象：

{
  id: 'L1-037',
  title: 'Description',
  layer: 'L1',
  severity: 'high',
  owasp: 'A03:2021 Injection',
  nis2: 'Art. 21(2)(e)',
  description: 'What the rule detects',
  recommendation: 'How to fix it',
  test: (line) => /pattern/.test(line),
  guards: [/mitigationPattern/],
}

构建和运行测试：

npm run build      # regenerates compuute-scan.js from src/
npm test           # runs the 231-assertion suite
npm run verify     # runs the supply-chain integrity check

看更改日志.md 发布历史和 ROADMAP.md 对于计划中的功能。

测试

npm test

该测试套件运行231个断言，涵盖URL验证、评分、凭证编辑、速率限制、内联忽略处理、配置加载、函数边界检测、每个规则的规则模式匹配、依赖CVE/age检查和端到端自扫描。

许可证

麻省理工学院——见许可证.

联系

公司 AB --代理AI安全 daniel@compuute.se | compuute.cn

工具与能力

工具数量

0

资源数量

0

提示词数量

0

能力标签

安全扫描JavaScript本地部署MCP服务器开源工具多语言支持依赖检测

数量来自来源目录的标注，具体工具清单以官方文档为准。

典型使用场景

资产与漏洞排查

批量查询资产和漏洞信息，输出待修清单。

日志审计

从日志里筛出异常访问和高风险操作。

合规检查

按规则核对配置项，记录不符合项。

选择建议

值得选的地方

只提供 0 个工具，职责集中，接入后不容易误操作。
有现成的安装命令，不用自己找入口，照着跑就能起服务。
公开说明写得比较完整，接入前能看清能力边界。

先想清楚的地方

stdio 方式要求本地装好 Node.js，换机器要重新装一遍。
需要自备OAuth 授权，没有凭据没法直接试。
公开摘要偏短，具体能力和限制要回到仓库确认。

更适合

需要在安全风控场景里让模型直接调用外部能力的人。
想先快速试一下、能接受在本地跑服务的人。

不太适合

完全不想在本地装环境的人。
暂时拿不到OAuth 授权的人。
需要厂商级 SLA 和技术支持的生产环境。

MCP Server	工具数	传输方式	安装命令	收录来源	最后核验
Compuute Scan MCP World · 本页	0	stdio	有	1 个	2026-05-17
Modelcontextprotocol C22988b0 MCP World	0	stdio	有	1 个	2026-05-17
Hexstrike AI MCP World	0	stdio	有	1 个	2026-05-17
Cyber Strike AI MCP World	75	未说明	未标注	1 个	2026-05-17
MCP Scan MCP World	0	stdio	有	1 个	2026-05-17

常见问题

5 条

Compuute Scan 怎么安装？

公开资料给出的安装命令是 npx compuute-scan ./path/to/mcp-server，运行环境为 Node.js。装完后按客户端要求写进 MCP 配置，重启客户端生效。

Compuute Scan 怎么在 Claude Desktop、Cursor 里配置？

它是stdio 本地进程，客户端配置里要写启动命令和参数，运行环境是 Node.js；保存后完全退出客户端再打开，配置才会生效。

Compuute Scan 收费吗？

本站只整理公开资料，不代收费用，也没有标注具体价格。是否收费取决于服务本身和背后的接口额度，正式使用前按官方说明确认。

Compuute Scan 需要 API Key 吗？

公开资料标注的认证方式是OAuth 授权，也就是要先拿到凭据才能连上；凭据只填在自己本地的配置里，不要写进公开仓库。

Compuute Scan 支持哪些客户端？

公开资料没有标注具体客户端；能配置本地 MCP 命令的客户端都能接，配置方式参照官方文档。

来源信息

MCP World

compuute-scan

开源安全扫描工具，用于检测MCP服务器的沙箱、代码执行、依赖和供应链风险，支持多种语言。

www.mcpworld.com

/detail/91123f38cc8ae9a21808cea7d76e11ec

参考链接

仓库入口

github.com

/Compuute/compuute-scan

来源标签