Sheriff-MCP

Sheriff ist ein MCP-Server, der KI-Agenten dabei hilft, statische Analyseprobleme aus SARIF-Berichten effizient zu beheben.

Dokumentation | Installation | Tool-Referenz

Warum Sheriff?

KI-Agenten kämpfen mit großen statischen Analyseberichten:

• Kontextüberlastung – 100+ Probleme überfordern Kontextfenster

• Verlorener Fortschritt – Arbeit geht bei Kontextkomprimierung oder Sitzungsneustart verloren

• Ineffiziente Navigation – Keine Stapelverarbeitung bedeutet wiederholtes Springen zwischen Dateien

Sheriff löst dies, indem er als Work-Queue-Manager fungiert:

• Intelligente Stapelverarbeitung – Probleme nach Datei gruppiert für effizientes Beheben

• Persistenter Fortschritt – Zustand übersteht Komprimierung, Neustarts und Agentenwechsel

• Bereichsfilterung – Fokus auf bestimmte Regeln, Schweregrade oder Dateimuster

• Kompakte Antworten – Minimaler Kontextverbrauch mit abgekürzten Feldnamen

Unterstützte statische Analysetools

Sheriff funktioniert mit jedem Tool, das SARIF-Ausgabe erzeugt:

Related MCP server: skillhub

Schnellstart

1. Installieren

Laden Sie sheriff-mcp-1.0.2-all.jar von Releases herunter.

docker pull ghcr.io/ryansmith4/sheriff-mcp:latest

Clients, die die MCP-Registry unterstützen, können direkt per Name installieren: io.github.ryansmith4/sheriff-mcp

Siehe die Installationsanleitung für vollständige Details.

2. Konfigurieren Sie Ihren MCP-Client

Fügen Sie Sheriff zu Ihrem MCP-Client hinzu (Claude Code, Cursor, ChatGPT Desktop usw.):

{
  "mcpServers": {
    "sheriff": {
      "command": "java",
      "args": ["-jar", "/path/to/sheriff-mcp-1.0.2-all.jar", "start"]
    }
  }
}

Oder mit Docker:

{
  "mcpServers": {
    "sheriff": {
      "command": "docker",
      "args": ["run", "-i", "--rm", "-v", ".:/data", "ghcr.io/ryansmith4/sheriff-mcp:latest"]
    }
  }
}

Siehe die Agent-Setup-Anleitung für clientspezifische Anweisungen und empfohlene Agent-Anweisungen.

3. Verwenden Sie es

1. Run static analysis     →  qodana scan
2. Load into Sheriff       →  sheriff load target="results.sarif"
3. Get next file's issues  →  sheriff next
4. Fix all issues in file  →  [edit the code]
5. Mark as done            →  sheriff done fps=[...] status="fixed"
6. Repeat 3-5              →  until remaining = 0

Sheriff stellt ein einzelnes sheriff-Tool mit 7 Aktionen bereit: load, next, done, progress, summary, reopen und export. Siehe die Tool-Referenz für die vollständige Dokumentation.

Beispielsitzung

User: "Fix all ConstantValue issues in my codebase"

Agent: sheriff load target="build/qodana/qodana.sarif.json"
       → 136 total issues, 22 ConstantValue, 15 unused...

Agent: sheriff next scope={rule: "ConstantValue"}
       → 3 issues in Service.java with code snippets

Agent: [reads Service.java, fixes all 3 issues]

Agent: sheriff done fps=["88d32cab35478753", "ab1c2d3e12345678", "f9e8d7c6a1b2c3d4"] status="fixed"
       → 3 marked fixed, 19 remaining

       ... continues until remaining = 0

Sicherheit

Alle Release-Artefakte sind für die Lieferkettensicherheit mit Sigstore signiert.

JAR verifizieren:

VERSION=1.0.2
cosign verify-blob \
  --signature sheriff-mcp-${VERSION}-all.jar.sig \
  --certificate sheriff-mcp-${VERSION}-all.jar.pem \
  --certificate-identity-regexp "https://github.com/ryansmith4/sheriff-mcp" \
  --certificate-oidc-issuer "https://token.actions.githubusercontent.com" \
  sheriff-mcp-${VERSION}-all.jar

Docker-Image verifizieren:

cosign verify ghcr.io/ryansmith4/sheriff-mcp:latest \
  --certificate-oidc-issuer=https://token.actions.githubusercontent.com \
  --certificate-identity-regexp="github.com/ryansmith4/sheriff-mcp"

Siehe SECURITY.md für unsere Sicherheitsrichtlinie.

Mitwirken

Beiträge willkommen! Siehe CONTRIBUTING.md für Richtlinien.

Lizenz

Apache License 2.0 – siehe LICENSE