VA-MCP

Un MCP para comprobar las vulnerabilidades correspondientes al OWASP TOP 10 durante las pruebas unitarias en la fase de desarrollo. Este MCP recibirá información sobre la API, la analizará y devolverá los resultados del análisis.

Alcance (MVP)

• Ejecución del servidor stdio de MCP

• Herramientas básicas proporcionadas:

  • ping

  • list_supported_checks

• Expansión futura de escenarios del OWASP Top 10

Related MCP server: MCP-QA

Requisitos previos (Prerequisites)

Los miembros del equipo deben tener instalado lo siguiente antes de comenzar a desarrollar:

• Git

• uv

• (Recomendado) Python 3.11+

Verificación de la instalación:

git --version
uv --version
python3 --version

Inicio rápido (Quick Start)

# 1) 저장소 클론
git clone <repo-url>
cd VA-MCP

# 2) 의존성/가상환경 동기화
uv sync

# 3) 테스트 확인
uv run pytest -q

# 4) MCP 서버 실행
uv run va-mcp

Dado que va-mcp funciona mediante transporte stdio, se utiliza conectándolo desde un cliente MCP (IDE/Agente) al servidor.

Reglas de desarrollo

Consulte dev-guide.md para conocer las reglas de desarrollo del equipo (estrategia de ramas, pruebas, PR, reglas de confirmación).

Guía de pruebas

Después de desarrollar una funcionalidad, realice las pruebas siguiendo este orden:

# 1) 의존성 동기화
uv sync

# 2) 테스트 실행
uv run pytest -q

• El código de prueba se escribe en la carpeta raíz tests/.

• Al añadir una nueva funcionalidad, es obligatorio añadir también la prueba correspondiente.

• Criterios mínimos:

  • Al menos 1 prueba unitaria de funcionalidad

  • tests/test_smoke.py debe seguir pasando

Funciones de los directorios

• src/va_mcp/: Raíz del código fuente de la aplicación

• src/va_mcp/server.py: Punto de entrada del servidor MCP (archivo que se inicia al ejecutar va-mcp)

• src/va_mcp/app.py: Creación e inicialización de la aplicación FastMCP

• src/va_mcp/config.py: Carga de variables de entorno, configuración del directorio de salida

• src/va_mcp/registry/: Lugar donde se registran qué funciones (herramientas) y datos (recursos) se mostrarán en MCP

• src/va_mcp/tools/: Funciones que ejecuta realmente el MCP (ej. ping, ejecución de comprobaciones)

• src/va_mcp/resources/: Colección de datos de referencia utilizados habitualmente por las funciones (ej. lista de comprobaciones admitidas)

• tests/: Código de prueba (ejecución obligatoria tras completar el desarrollo)

• outputs/: Almacenamiento de los resultados de la ejecución

Notas

• Actualmente está diseñado basándose en la integración local (stdio).

• En el futuro, se planea cambiar al modo HTTP durante la fase de despliegue en AWS.