Skip to main content
Glama
Francesco5264

locklens

by Francesco5264
OverviewSchemaSourceRelated ServersDiscussionsAdmin
TypeScript
Hybrid

locklens

locklens 是一个基于 audit-ci 的 lockfile 审计工具，支持三种运行模式：

  • CLI / npx

  • MCP Server（stdio）

  • Skill

它可以审计本地项目目录或远程 Git 仓库，并支持 npm、yarn、pnpm 的 lockfile。

特性

  • 支持本地项目目录与远程 Git 仓库审计

  • 支持公开仓库与私有仓库审计

  • 支持 package-lock.json、yarn.lock、pnpm-lock.yaml

  • 仅基于仓库中已存在的 lockFile 进行审计，保证结果与真实依赖状态一致

  • 支持中文、英文文本报告

  • 支持显式切换为 JSON 输出

Related MCP server: mcp-dependency-doctor

环境要求

  • Node >=18

  • (Optional) Yarn ^1.12.3 || Yarn >=2.4.0 && <4.0.0

  • (Optional) PNPM >=4.3.0

  • (Optional) Bun

结果示例

可以直接查看仓库内的示例输出：

安装与环境

本地仓库、线上仓库审计：

# 本地相对目录审计
npx -y locklens --source ./
# 本地绝对目录审计
npx -y locklens --source /path/to/project 
# Github 远程仓库审计
npx -y locklens --source https://github.com/BARMPlus/micro-app > audit.md
# Gitlab 远程仓库审计
npx -y locklens --output-format json --source https://gitlab.com/gitlab-org/gitlab-vscode-extension.git > audit.json

私有仓库审计：

# 对于 GitHub、GitLab、Gitee 的 HTTPS 地址，locklens 会先尝试通过 ssh -T 判断本机 SSH Key 是否可用于该 Git 服务器；
# 如果可用，会自动切换为 SSH 方式执行。其他私有 Git 服务器仍建议直接依赖本机已有权限的 SSH Key。
npx -y locklens --source https://git.company.local/group/repo.git
# 适合 CI 场景，仅支持 私有部署的 GitLab 服务器应用审计，设置 Personal access tokens 权限访问该仓库
LOCKLENS_GITLAB_PRIVATE_TOKEN=your-token npx -y locklens --source https://git.company.local/group/repo.git

CLI 使用方法

常见示例

输出英文文本报告：

npx -y locklens --source /path/to/project --output-format-language en

输出 JSON：

npx -y locklens --source /path/to/project --output-format json

指定阈值为高危：

npx -y locklens --source /path/to/project --threshold high

跳过 devDependencies：

npx -y locklens --source /path/to/project --skip-dev

CLI 参数

参数

说明

--source <value>

必填。本地目录路径或远程 Git 仓库地址

--threshold <value>

漏洞过滤阈值，可选：low、moderate、high、critical，默认：low

--registry <url>

自定义 npm registry，默认：https://registry.npmjs.org/

--skip-dev

跳过 dev dependencies

--retry-count <number>

审计执行重试次数

--output-format <value>

输出格式，可选：json、text，默认：text

--output-format-language <value>

文本报告语言，可选：zh、en，默认：zh

--help / -h

显示帮助

--version / -v

显示版本号

MCP 使用方法

locklens 支持通过 stdio 方式作为 MCP Server 接入，通过将以下配置添加到mcp服务器配置中。

Windows 平台：

{
  "mcpServers": {
    "locklens": {
      "command": "cmd",
      "args": ["/c", "npx", "--yes", "locklens"]
    }
  }
}

其他平台：

{
  "mcpServers": {
    "locklens": {
      "command": "npx",
      "args": ["--yes", "locklens"]
    }
  }
}

Tools

package_audit

审计指定项目目录或远程 Git 仓库的 lockfile，并返回统一格式的漏洞结果。

参数：

  • source

    • 必填。本地目录绝对路径，或远程 Git 仓库地址

  • threshold

    • 漏洞过滤阈值，可选：low、moderate、high、critical；默认：low

  • registry

    • 自定义 npm registry 地址；默认：https://registry.npmjs.org/

  • skipDev

    • 是否跳过 dev dependencies

  • retryCount

    • 审计执行重试次数

  • outputFormat

    • 输出格式，可选：text、json；默认：text

  • outputFormatLanguage

    • 文本报告语言，可选：zh、en；默认：zh

Skill

如果你的客户端支持 Skill，也可以直接使用 dependency-audit，不需要先接入 MCP。

当前仓库内的 Skill 目录位于：

dependency-audit/

默认会带上 --skip-dev，优先只带出线上风险；如果你希望带出开发和线上所有依赖风险，可以明确说明取消 --skip-dev。

示例：

1. 使用 dependency-audit 审计当前项目的依赖问题
2. https://github.com/BARMPlus/micro-app 审计这个项目的依赖，告知我开发和线上所有的依赖问题
3. 输出 https://github.com/BARMPlus/micro-app 这个项目严重的依赖问题

License

Copyright (c) 2026 chenglin

locklens is released under the MIT License

This server cannot be deployed

Shareable, User-Owned Context BackendPeople, applications, and agents read, write, and coordinate together in one context lake. Reach it over MCP, a CLI, a Python SDK, or REST.fulcradynamics.comAd

Maintenance

ActivityActive
ResponsivenessNo issues

Resources

Related MCP Connectors

Related MCP Servers

  • locklens

    BARMPlus
    A
    license
    B
    quality
    D
    maintenance
    Audits package lockfiles for vulnerabilities, supporting npm, yarn, and pnpm. Runs via CLI or as an MCP server over stdio.
    1
    28 npm
    78
    MIT

  • locklens

    kathleenozkan
    A
    license
    Not graded
    quality
    A
    maintenance
    Enables users to audit npm, Yarn, and pnpm lockfiles in local projects or remote Git repositories through MCP, with configurable vulnerability thresholds, dev-dependency skipping, retry counts, and text or JSON reports.
    28 npm
    MIT

  • locklens

    cem6513
    A
    license
    Not graded
    quality
    A
    maintenance
    Enables auditing of npm, Yarn, and pnpm lockfiles in local project directories or remote Git repositories, returning vulnerability findings filtered by severity threshold in text or JSON.
    28 npm
    MIT