🔐 mcp-keyguard

您的 AI 代理永远不应看到您的 API 密钥。现在它看不到了。

mcp-keyguard 是一个本地 MCP 服务器，充当您的 AI 代理（Claude、Cursor、Windsurf 等）与任何外部 API 之间的安全代理。

您无需将 OpenAI、Stripe 或 GitHub 密钥粘贴到聊天上下文中，而是将它们加密存储在您的机器上。代理调用 mcp-keyguard，后者在服务器端注入真实密钥并返回结果。

密钥永远不会离开您的机器。代理永远看不到它。

为什么这很重要

2025 年，一个流行的 MCP 托管平台中的漏洞暴露了来自 3000 多个服务器的数千个 API 密钥。根本原因是什么？密钥通过了用户无法控制的基础设施。

mcp-keyguard 则完全相反：完全本地化，零外部依赖，您的密钥在静态时使用 AES-128 加密。

Related MCP server: aarifmms/keyblind

工作原理

Your prompt → Claude → mcp-keyguard → [injects real key] → External API
                           ↑
                    Key never leaves here

安装

要求： Python 3.10+

pip install mcp httpx cryptography
git clone https://github.com/ggc180820/mcp-keyguard.git
cd mcp-keyguard

添加到您的 claude_desktop_config.json：

{
  "mcpServers": {
    "mcp-keyguard": {
      "command": "python",
      "args": ["/path/to/mcp-keyguard/main.py"]
    }
  }
}

重启 Claude Desktop。完成。

使用方法

1. 存储密钥（每个密钥只需执行一次）

"使用 add_key 存储我的 OpenAI 密钥，别名为 'openai'， header_name 为 'Authorization'，header_prefix 为 'Bearer '"

2. 发起经过身份验证的请求（Claude 会自动执行此操作）

"使用 make_request 并指定别名 'openai' 来调用 https://api.openai.com/v1/models"

3. 查看已存储的内容

"使用 list_keys" → 显示别名和标头。绝不会显示真实值。

工具

安全模型

• 密钥使用 Fernet (AES-128-CBC + HMAC-SHA256) 加密

• 加密密钥仅存在于您机器上的 vault.key 中

• 所有 HTTP 请求均在本地进行，超时时间为 30 秒

• 切勿将 vault.key 或 vault.json 提交到 git（已包含在 .gitignore 中）

mcp-keyguard Pro

需要更多控制？Pro 版增加了：

👉 获取 Pro 版 — 5€/月

许可证

MIT — 个人使用永久免费。