VulniCheck MCP

VulniCheck - 基于AI的安全扫描器

VulniCheck利用人工智能驱动的漏洞检测技术，为Python项目和GitHub仓库提供全面的安全分析。它作为一个基于Docker的HTTP MCP服务器运行，支持标准的HTTP流传输（无需SSE），提供安全的容器化部署以及全面的漏洞扫描功能。

快速入门

1. 拉取并运行Docker容器

# Pull the latest image from Docker Hub
docker pull andrasfe/vulnicheck:latest

# Run with OpenAI API key (for enhanced AI-powered risk assessment)
docker run -d --name vulnicheck-mcp -p 3000:3000 \
  --restart=unless-stopped \
  -e OPENAI_API_KEY=your-openai-api-key \
  andrasfe/vulnicheck:latest

# Or run without API key (basic vulnerability scanning)
docker run -d --name vulnicheck-mcp -p 3000:3000 \
  --restart=unless-stopped \
  andrasfe/vulnicheck:latest

2. 添加到Claude代码中

claude mcp add --transport http vulnicheck http://localhost:3000/mcp

就是它了！VulniCheck 现已在 Claude Code 中可用。

使用方法

安装后，只需询问Claude：

"Run a comprehensive security check on my project"

"Scan https://github.com/owner/repo for vulnerabilities"

"Check my dependencies for security issues"

"Scan my Dockerfile for vulnerable packages"

VulniCheck 将：

• ✅ 扫描依赖项中的已知漏洞（requirements.txt、pyproject.toml、setup.py）
• ✅ 检测暴露的机密和凭据
• ✅ 分析Dockerfile中的安全问题
• ✅ 验证MCP配置
• ✅ 生成AI驱动的风险评估
• ✅ 提供可操作的补救建议

主要特点

• Docker 部署通过HTTP流实现安全的容器化部署（无需SSE/服务器发送事件）
• 可选认证支持Google OAuth 2.0以实现安全访问控制（默认禁用）
• 生产就绪可扩展的HTTP服务器架构
• 全面覆盖查询5个以上的漏洞数据库（OSV.dev、NVD、GitHub Advisory、CIRCL、Safety DB）
• GitHub 集成直接扫描任何公开/私有的GitHub仓库（最大1GB）
• 基于人工智能的分析使用OpenAI/Anthropic API进行智能安全评估
• 秘密检测查找暴露的API密钥、密码和凭据
• Docker 安全性分析Dockerfile中的易受攻击的依赖项
• 智能缓存通过提交级别的缓存避免重复扫描
• 空间管理自动清理功能防止磁盘空间耗尽（总限制2GB）
• 零配置开箱即用，可选API密钥增强功能

可用工具

可选API密钥

增强VulniCheck功能，通过API密钥实现更佳的速率限制和AI特性：

docker run -d --name vulnicheck-mcp -p 3000:3000 \
  --restart=unless-stopped \
  -e OPENAI_API_KEY=your-key \           # AI-powered risk assessment
  -e ANTHROPIC_API_KEY=your-key \        # Alternative AI provider
  -e GITHUB_TOKEN=your-token \           # Higher GitHub API rate limits
  -e NVD_API_KEY=your-key \              # Higher NVD rate limits
  andrasfe/vulnicheck:latest

身份验证（可选）

VulniCheck支持可选的Google OAuth 2.0身份验证，以实现安全的访问控制。默认情况下，身份验证是 残疾的.

启用Google OAuth

1. 获取Google OAuth凭据：

- 首选 Google 云控制台 - 创建一个项目并启用Google+ API - 创建OAuth 2.0凭据（Web应用程序） - 添加授权重定向URI： http://localhost:3000/oauth/callback （或您的域名）

1. 配置环境变量:

   export FASTMCP_SERVER_AUTH_GOOGLE_CLIENT_ID="your-client-id.apps.googleusercontent.com"
   export FASTMCP_SERVER_AUTH_GOOGLE_CLIENT_SECRET="GOCSPX-your-secret-here"
   export FASTMCP_SERVER_BASE_URL="http://localhost:3000"

1. 带身份验证运行:

   docker run -d --name vulnicheck-mcp -p 3000:3000 \
     --restart=unless-stopped \
     -e FASTMCP_SERVER_AUTH_GOOGLE_CLIENT_ID=your-client-id \
     -e FASTMCP_SERVER_AUTH_GOOGLE_CLIENT_SECRET=your-secret \
     -e FASTMCP_SERVER_BASE_URL=http://localhost:3000 \
     -v vulnicheck_tokens:/home/vulnicheck/.vulnicheck/tokens \
     andrasfe/vulnicheck:latest \
     python -m vulnicheck.server --auth-mode google

1. 使用 docker-compose：

见 docker-compose.auth-example.yml 以获取完整的配置示例。

注OAuth令牌被持久化存储在 /home/vulnicheck/.vulnicheck/tokens使用 Docker 卷来跨容器重启持久化令牌。

⚠️ 已知的OAuth限制

FastMCP OAuth + HTTP 传输不兼容

由于FastMCP 2.12.4版本存在限制，OAuth认证 不能正常工作 使用HTTP传输（streamable-http）。授权端点（/oauth/authorize， /oauth/callback) 未正确安装，导致出现404错误。

当OAuth起作用时：

• ✅ 本地连接（在未来的FastMCP版本中支持时）
• ✅ OAuth 发现端点工作正常 (/.well-known/oauth-protected-resource）

当OAuth不起作用时：

• ❌ 使用外部客户端（如ChatGPT、Claude Desktop等）的HTTP传输
• ❌ 授权端点返回404
• ❌ 代币兑换失败

外部客户端（如ChatGPT等）的解决方案：

运行VulniCheck 未经认证 当通过ngrok或其他公共URL访问时：

# Start without OAuth (recommended for external clients)
docker run -d --name vulnicheck-mcp -p 3000:3000 \
  --restart=unless-stopped \
  andrasfe/vulnicheck:latest

# Then configure ngrok
ngrok http 3000

在您的MCP客户端（如ChatGPT等）中：

• URL（统一资源定位符）: https://your-ngrok-url.ngrok-free.dev/mcp
• 认证无

安全考虑事项：

• ✅ 流量通过HTTPS（ngrok）进行加密
• ⚠️ 无认证 - 任何拥有URL的人都可以访问
• 💡 ngrok免费版URL重启后会改变（通过保密性来增强安全性）
• 🔒 对于生产环境，请使用带有密码保护或IP白名单的ngrok付费版本

未来决议： 这一限制将在以下情况下得到解决：

1. FastMCP修复了OAuth + HTTP传输支持，或者
2. 实施了替代的认证机制

与ngrok一起使用

快速入门（无需OAuth）：

# 1. Start VulniCheck
docker run -d --name vulnicheck-mcp -p 3000:3000 \
  --restart=unless-stopped \
  andrasfe/vulnicheck:latest

# 2. Start ngrok
ngrok http 3000

# 3. Use the ngrok URL in your MCP client
# URL: https://your-generated-url.ngrok-free.dev/mcp
# Authentication: None

可选OAuth脚本（实验性 - OAuth功能不可用）：

一个便捷的脚本 restart-vulnicheck-ngrok.sh 为测试OAuth提供了（环境/工具），但 OAuth 目前无法正常工作 由于FastMCP的限制：

# Copy the example environment file
cp .env.example .env

# Edit .env and add your credentials
GOOGLE_CLIENT_ID=your-client-id.apps.googleusercontent.com
GOOGLE_CLIENT_SECRET=GOCSPX-your-secret-here
NGROK_URL=https://your-ngrok-url.ngrok-free.dev

# Run the script (OAuth will not work)
./restart-vulnicheck-ngrok.sh

注该脚本为将来使用而提供，当FastMCP OAuth + HTTP传输机制修复后将启用。目前，对于外部客户端，始终在不使用OAuth的情况下运行。

从源代码构建

# Clone the repository
git clone https://github.com/andrasfe/vulnicheck.git
cd vulnicheck

# Build Docker image
docker build -t vulnicheck .

# Run locally built image (no auth)
docker run -d --name vulnicheck-mcp -p 3000:3000 --restart=unless-stopped vulnicheck

# Run with Google OAuth
docker run -d --name vulnicheck-mcp -p 3000:3000 \
  --restart=unless-stopped \
  -e FASTMCP_SERVER_AUTH_GOOGLE_CLIENT_ID=your-client-id \
  -e FASTMCP_SERVER_AUTH_GOOGLE_CLIENT_SECRET=your-secret \
  -e FASTMCP_SERVER_BASE_URL=http://localhost:3000 \
  -v vulnicheck_tokens:/home/vulnicheck/.vulnicheck/tokens \
  vulnicheck \
  python -m vulnicheck.server --auth-mode google

Docker Hub

官方Docker镜像可在以下位置获取：

• Docker Hub: Andrasfe/Vulnicheck（注：这可能是一个特定项目或工具的名称，直接翻译为中文可能不具有明确意义，因此保持原样，但根据语境，可以理解为“安德拉斯·费/漏洞检查”或类似含义，具体需结合上下文确定）
• 最新标签: andrasfe/vulnicheck:latest

要求

• Docker
• Claude Code 或任何支持 HTTP 传输（标准 HTTP，无需 SSE）的 MCP 客户端
• 可选：用于增强功能的API密钥

支持的文件类型

• 依赖项: requirements.txt， pyproject.toml， setup.py，锁定文件
• 集装箱： Dockerfile， docker-compose.yml
• 秘密所有基于文本的源文件
• GitHub任何公共或私有仓库的URL

支持

• 问题在 https://github.com/andrasfe/vulnicheck/issues 上报告问题
• 发展查看 CLAUDE.md（文件名，可译为“克劳德.md”或保持原样，根据上下文决定是否需要翻译文件名） 关于开发详情
• 安全通过GitHub安全公告私下报告安全问题

______________________________________________________________________

免责声明提供的漏洞数据“按原样”提供，不附带任何保证。用户需自行负责验证和修复。