portfolio-mcp

Ein MCP-Server, der ein Verzeichnis voller Projekte liest und dir sagt, was darin ist: Womit jedes einzelne gebaut wurde, ob es in Git liegt, wo es bereitgestellt ist, was veraltet ist und welche am nächsten daran sind, Geld zu verdienen.

Er ist schreibgeschützt. Er schreibt, verschiebt oder löscht nie etwas, das er scannt.

Installation

npx portfolio-mcp --root /path/to/your/projects

Registriere ihn mit Claude Code:

claude mcp add --scope user portfolio \
  -e PORTFOLIO_ROOT=/path/to/your/projects \
  -- npx -y portfolio-mcp

Oder in einem beliebigen Client, der mcpServers liest:

{
  "mcpServers": {
    "portfolio": {
      "command": "npx",
      "args": ["-y", "portfolio-mcp"],
      "env": { "PORTFOLIO_ROOT": "/path/to/your/projects" }
    }
  }
}

Related MCP server: codescan-mcp

Konfiguration

Nichts ist fest verdrahtet. Das Scan-Stammverzeichnis wird in dieser Reihenfolge aufgelöst:

1. --root <pfad> (oder --root=<pfad>) in der Befehlszeile

2. die Umgebungsvariable PORTFOLIO_ROOT

3. das Arbeitsverzeichnis des Prozesses

_archive, _backups, node_modules, .git und Verzeichnisse mit führendem Punkt werden übersprungen.

Werkzeuge

Inventar

Bereitstellung

Einnahmen

Wartung

Was es berührt

Um das klarzustellen, weil der Server ein Verzeichnis liert, das dir wichtig ist:

• Nur lesen. Kein Werkzeug schreibt, verschiebt, benennt um oder löscht eine Datei.

• Pfadeingrenzung. Ein Projektname ist ein Verzeichniseintrag. Trennzeichen, .., absolute Pfade, Laufwerksbuchstaben, Nullbytes und Windows-Gerätenamen werden abgelehnt, und der aufgelöste Pfad wird anschließend daraufhin überprüft, dass er sich innerhalb des konfigurierten Stammverzeichnisses befindet. Es gibt keine Möglichkeit, ein Nachbarverzeichnis lesen zu lassen.

• Keine Shell. Jeder Unterprozess läuft über execFileSync mit einem Argumentarray. Verzeichnisnamen werden niemals in eine Befehlszeichenfolge eingefügt.

• Unterprozesse. git für den Repository-Status und npm / pip nur innerhalb von outdated_deps.

• Netzwerk. Nur outdated_deps erreicht die npm- und PyPI-Registrieren, denn das tun npm outdated, npm audit und pip list --outdated. Setze PORTFOLIO_OFFLINE=1 und es verweigert stattdessen. Jedes andere Werkzeug ist lokal.

• Keine Anmeldeinformationen. Der Server liest keine Tokens und sendet nichts irgendwohin.

Bewertung

revenue_scan und find_opportunities erzeugen eine Bewertung von 1 bis 10 aus Signalen, die leicht zu erkennen sind: Bereitstellungskonfiguration, eine Authentifizierungsbibliothek, eine Zahlungsbibliothek, ein Einstiegspunkt für eine Landingpage, eine README, ein Git-Remote, ein API-Framework und dann ein Kategoriemultiplikator. Es ist eine Triage-Heuristik zum Sortieren eines großen Verzeichnisses, keine Bewertung. Behandle die Einstufung als „Schau dir diese zuerst an“, nicht als eine Zahl, die für sich genommen etwas bedeutet.

Entwicklung

npm ci
npm run build
npm test          # builds, then runs node --test
npm pack --dry-run

Lizenz

MIT. Siehe LICENSE.