MCPWatch

MCP 服务器的“我被入侵了吗？”（Have I Been Pwned）。 开源安全扫描器，根据 OWASP MCP Top 10 对 MCP 服务器进行审计，并给出 A–F 等级评分。

概述

MCPWatch 是一个用于 MCP 生态系统的安全工具，具有以下功能：

• 在任何 MCP 服务器上运行源自 OWASP MCP Top 10 的 10 项自动化检查

• 提供 A–F 等级评分以及每项检查的详细发现

• 提供 MCP 服务器接口，以便 AI 代理可以按需审计 MCP

• 提供 CLI，用于 CI/CD 流水线中的安装前扫描

• 为 mcpwatch.pages.dev 上的 公共排行榜 提供支持，并带有实时 SVG 等级徽章

Related MCP server: mcp-shield

安装

与 Claude Code / Cursor / Windsurf 一起使用（MCP 服务器）

添加到您的 MCP 配置中：

{
  "mcpServers": {
    "mcpwatch": {
      "command": "npx",
      "args": ["-y", "mcpwatch-mcp"]
    }
  }
}

CLI（安装前扫描）

npx mcpwatch-scanner /path/to/mcp-server

GitHub Action（CI/CD 门禁）

- uses: lazymac2x/mcpwatch-action@v1
  with:
    path: .
    fail-below: B

MCP 工具

当作为 MCP 服务器运行时，MCPWatch 会向您的 AI 代理公开以下工具：

示例：添加 MCP 前进行扫描

询问 Claude：“在使用 mcpwatch 将 filesystem-mcp 服务器添加到我的配置之前，请先扫描 ~/mcps/filesystem-mcp。”

10 项检查（OWASP MCP Top 10）

评分标准

公共排行榜与徽章

Smithery、npm 和官方注册表上的每个公共 MCP 服务器都会被每日扫描。

实时徽章 — 放入任何 README 中：

[![MCPWatch score](https://api.lazy-mac.com/mcpwatch/badge/YOUR_OWNER/YOUR_REPO.svg)](https://mcpwatch.pages.dev/servers/YOUR_OWNER/YOUR_REPO)

JSON API：

GET https://api.lazy-mac.com/mcpwatch/scan/{owner}/{repo}

架构

mcpwatch/
├── packages/
│   ├── scanner/   # Core check engine (TypeScript, runs in Worker + CLI + Node)
│   └── cli/       # mcpwatch-scanner — npx runnable
├── workers/
│   └── crawler/   # CF Worker — scheduled crawl + scan (daily)
├── apps/
│   └── web/       # CF Pages — mcpwatch.pages.dev — public leaderboard
└── .github/
    └── workflows/ # mcpwatch-action CI gate

要求

• Node.js 18+

• 被测 MCP 服务器必须在本地可访问（用于 scan_mcp_server / CLI）

• 公共排行榜查询无需 API 密钥

许可证

MIT — 随意使用、分叉并贡献检查项。

贡献

欢迎提交关于新检查项、误报修复或排行榜改进的 Pull Request。请参阅 CONTRIBUTING.md 获取指南。