shipcheck-mcp

找出你的 AI 构建的应用泄露了什么——在发布之前。

适用于 Claude Code、OpenCode、Cursor 或任何兼容 MCP 的代理——它是一个标准的 Model Context Protocol 服务器，而不是仅限 Claude 的工具。

AI 编码代理会愉快地发布泄露 API 密钥、引入 GPL 许可包、将管理路由暴露到互联网、在无隐私政策的情况下收集电子邮件，或接触原始卡号的应用——因为“它能运行吗”和“这能发布吗”是两个不同的问题，而你的代理只回答了第一个。

ShipCheck 回答第二个问题。它对你的项目运行五项快速、确定性的检查，并用通俗的语言解释每一条发现——哪里有问题、为什么对你重要，以及如何精确修复。无需安全背景。

诚实设计： ShipCheck 标记有风险的模式。它不是法律审查，也不是保证。干净的扫描意味着没有匹配到这些特定检查——仅此而已。 完整非目标见 PRD.md §2。

两个工具，两个时刻

内置技能教会你的代理养成习惯：提交前 scan_diff，发布前 scan_repo。

Related MCP server: agentguard

适用于你的技术栈

每个摘要都会告诉你检测到了哪些技术栈（project_types），并在检测到的技术栈未被完全覆盖时诚实警告（coverage_caveat），而不是暗示一切正常。

一条发现的样子

[critical] lib/firebase_options.dart — 在人们设备上运行的代码中发现了可能的 Google API 密钥。

为什么重要： 此密钥随你的应用分发到每个用户的手机或浏览器。任何人都可以复制它并冒充你使用——花费你的钱或读取你的数据。

修复方法： 将密钥移入一个永远不会成为项目一部分的单独密钥文件，在启动时加载，然后从提供商的仪表板获取新密钥——将此密钥视为已泄露。

30 秒上手

# In Claude Code:
/plugin marketplace add noureldeensalama/shipcheck
/plugin install shipcheck

# Then just talk to your agent:

“提交前运行 shipcheck” · “这可以发布了吗？” · “扫描这个仓库”

无头 / CI：

claude --plugin-dir /path/to/shipcheck -p "Run shipcheck scan_repo on . and summarize findings"

独立 MCP 服务器（Cursor、OpenCode 或其他）

git clone https://github.com/noureldeensalama/shipcheck.git
cd shipcheck && npm install && npm run build

{
  "mcpServers": {
    "shipcheck": { "command": "node", "args": ["/absolute/path/to/shipcheck/dist/index.js"] }
  }
}

或发布后：npx shipcheck-mcp

值得信赖

• 确定性：仅使用正则表达式和依赖元数据。LLM 负责解释下游发现；它从不决定是否存在发现（PRD.md §4）。

• 静默设计：相同的密钥去重为一条发现并列出所有位置；输出按严重性排序、紧凑（10 万行代码仓库约 1k tokens）、最多 100 条发现并带有明确的截断标志；从不扫描 vendored 树（node_modules、.venv、build…）；占位值（mock…、CI 假数据）和公开设计配置（google-services.json、firebase_options.dart）不会虚报。

• 在真实代码上验证：在五个生产仓库上自测——捕获了一个跨 13 个文件的实时 Supabase service-role 密钥和三个未认证的调试端点，然后验证修复已落地，并标记了仅存在于 git 历史中的第二个密钥。 完整真/假阳性日志：DOGFOOD_RESULTS.md。

兼容性

自行测试

npm test             # 53 unit tests
npm run e2e          # 21 real-MCP-protocol checks
npm run verify-fixture   # acceptance gate over deliberately-vulnerable fixtures
npm run dogfood -- /path/to/any/repo   # scan any repo from the CLI

贡献

欢迎提交 Issue 和 PR——参见 CONTRIBUTING.md。新的检测器类别需要同时具备触发风险的 fixture 和不过度触发的回归测试；带有真实代码样本的误报报告尤其有价值。真实仓库结果见 DOGFOOD_RESULTS.md。

许可证

MIT——参见 LICENSE。