safe-fix-mcp

Ein echter MCP-Server, der toten Code in einem Python-Repository findet und einen Branch + PR für die eine Klasse von Befunden vorschlägt, die tatsächlich sicher automatisch entfernt werden kann: ungenutzte Importe in einer einzelnen Importzeile. Alles andere, was er findet – ungenutzte Funktionen, Klassen, ungenutzte Abhängigkeiten – bleibt nur als Bericht. Ein Mensch führt den Merge immer durch. Dieses Tool merged niemals selbst etwas.

Warum es das gibt

Die meisten „Dead Code“-Tools hören beim Melden auf. Diejenigen, die weitergehen, löschen meist ohne Sicherheitsnetz. Dieses tut keines von beidem: Es entwirft einen echten, minimalen, überprüfbaren PR, der davon abhängt, dass die vollständige Testsuite des Ziel-Repositorys nach der Entfernung tatsächlich besteht – keine Heuristik, sondern ein echter pytest-Lauf. Wenn die Suite fehlschlägt, wird nichts committet oder gepusht; das Repository bleibt exakt so, wie es begonnen hat.

Related MCP server: code-review-mcp-server

Tools

scan_dead_code(repo_path=".", min_confidence=60)

Nur lesend. Führt vulture (toter Code) und deptry (Abhängigkeitsprobleme) aus und gibt eine menschenlesbare Liste von Befunden zurück. Ändert niemals etwas.

propose_removal_pr(repo_path=".")

• Lehnt bei einem verschmutzten Arbeitsbaum ab – bearbeitet niemals über uncommittete Arbeit.

• Filtert auf ungenutzte Importe mit ≥90 % vulture-Konfidenz, nur bei einzelnen Importzeilen (from x import y, z wird übersprungen – das Entfernen der gesamten Zeile würde auch z stillschweigend entfernen).

• Erstellt einen echten Branch, entfernt die qualifizierenden Importe, führt die echte vollständige Testsuite des Repositorys aus.

• Nur bei einem echten Erfolg: committet, pusht und versucht, einen PR via gh pr create zu öffnen.

• Wenn gh nicht installiert/authentifiziert ist, wird der Branch trotzdem echt committet und gepusht – nur die PR-Erstellung wird herabgestuft, mit dem echten Fehler als Rückgabe, damit du den PR manuell öffnen kannst.

Installation

pip install -e .

Füge dies zu deiner MCP-Client-Konfiguration hinzu (z. B. Claude Code):

claude mcp add safe-fix-mcp -- safe-fix-mcp

Oder führe es direkt für lokale Tests aus:

python -m safe_fix_mcp.server

Anforderungen

• Python ≥ 3.10

• git im PATH

• gh (GitHub CLI) im PATH und authentifiziert, wenn propose_removal_pr tatsächlich den PR öffnen soll – ohne dies wird der Branch trotzdem echt gepusht, und das Tool sagt dir, den PR von Hand zu öffnen.

Entwicklung

pip install -e ".[dev]"
pytest

Bekannte Einschränkung

vulture markiert scan_dead_code/propose_removal_pr selbst als „ungenutzt“ – eine bekannte False-Positive-Klasse, kein echter Bug: Sie werden zur Laufzeit durch den @mcp.tool()-Decorator dispatched, nicht direkt irgendwo im Quellcode aufgerufen, sodass die statische Call-Graph-Analyse den echten Aufrufer (das MCP-Framework selbst) nicht sehen kann.

Echte Verifizierung

scripts/verify_real_client.py startet den gepackten Server als echten Subprozess und kommuniziert mit ihm über die echte mcp.client.ClientSession – denselben Pfad, den ein echter MCP-Client verwendet. Nützlich als Smoke-Test nach jeder Änderung:

python scripts/verify_real_client.py