Sheriff-MCP

Sheriff es un servidor MCP que ayuda a los agentes de IA a corregir eficientemente problemas de análisis estático a partir de informes SARIF.

Documentación | Instalación | Referencia de herramientas

¿Por qué Sheriff?

Los agentes de IA tienen dificultades con los informes de análisis estático grandes:

• Sobrecarga de contexto - Más de 100 problemas abruman las ventanas de contexto

• Progreso perdido - El trabajo se pierde en la compactación de contexto o al reiniciar la sesión

• Navegación ineficiente - Sin agrupación, se salta entre archivos repetidamente

Sheriff resuelve esto actuando como un gestor de cola de trabajo:

• Agrupación inteligente - Problemas agrupados por archivo para una corrección eficiente

• Progreso persistente - El estado sobrevive a la compactación, reinicios y cambios de agente

• Filtrado por alcance - Enfócate en reglas, severidades o patrones de archivo específicos

• Respuestas compactas - Uso mínimo de contexto con nombres de campos abreviados

Herramientas de análisis estático compatibles

Sheriff funciona con cualquier herramienta que produzca salida SARIF:

Related MCP server: skillhub

Inicio rápido

1. Instalar

Descarga sheriff-mcp-1.0.2-all.jar desde Releases.

docker pull ghcr.io/ryansmith4/sheriff-mcp:latest

Los clientes que admiten el MCP Registry pueden instalarlo directamente por nombre: io.github.ryansmith4/sheriff-mcp

Consulta la Guía de instalación para obtener todos los detalles.

2. Configura tu cliente MCP

Añade Sheriff a tu cliente MCP (Claude Code, Cursor, ChatGPT Desktop, etc.):

{
  "mcpServers": {
    "sheriff": {
      "command": "java",
      "args": ["-jar", "/path/to/sheriff-mcp-1.0.2-all.jar", "start"]
    }
  }
}

O con Docker:

{
  "mcpServers": {
    "sheriff": {
      "command": "docker",
      "args": ["run", "-i", "--rm", "-v", ".:/data", "ghcr.io/ryansmith4/sheriff-mcp:latest"]
    }
  }
}

Consulta la Guía de configuración del agente para obtener instrucciones específicas del cliente y recomendaciones de instrucciones para el agente.

3. Úsalo

1. Run static analysis     →  qodana scan
2. Load into Sheriff       →  sheriff load target="results.sarif"
3. Get next file's issues  →  sheriff next
4. Fix all issues in file  →  [edit the code]
5. Mark as done            →  sheriff done fps=[...] status="fixed"
6. Repeat 3-5              →  until remaining = 0

Sheriff expone una única herramienta sheriff con 7 acciones: load, next, done, progress, summary, reopen y export. Consulta la Referencia de herramientas para la documentación completa.

Ejemplo de sesión

User: "Fix all ConstantValue issues in my codebase"

Agent: sheriff load target="build/qodana/qodana.sarif.json"
       → 136 total issues, 22 ConstantValue, 15 unused...

Agent: sheriff next scope={rule: "ConstantValue"}
       → 3 issues in Service.java with code snippets

Agent: [reads Service.java, fixes all 3 issues]

Agent: sheriff done fps=["88d32cab35478753", "ab1c2d3e12345678", "f9e8d7c6a1b2c3d4"] status="fixed"
       → 3 marked fixed, 19 remaining

       ... continues until remaining = 0

Seguridad

Todos los artefactos de lanzamiento están firmados con Sigstore para la seguridad de la cadena de suministro.

Verificar JAR:

VERSION=1.0.2
cosign verify-blob \
  --signature sheriff-mcp-${VERSION}-all.jar.sig \
  --certificate sheriff-mcp-${VERSION}-all.jar.pem \
  --certificate-identity-regexp "https://github.com/ryansmith4/sheriff-mcp" \
  --certificate-oidc-issuer "https://token.actions.githubusercontent.com" \
  sheriff-mcp-${VERSION}-all.jar

Verificar imagen de Docker:

cosign verify ghcr.io/ryansmith4/sheriff-mcp:latest \
  --certificate-oidc-issuer=https://token.actions.githubusercontent.com \
  --certificate-identity-regexp="github.com/ryansmith4/sheriff-mcp"

Consulta SECURITY.md para nuestra política de seguridad.

Contribuciones

¡Las contribuciones son bienvenidas! Consulta CONTRIBUTING.md para las pautas.

Licencia

Apache License 2.0 - consulta LICENSE