Sheriff 是一个 MCP 服务器，可帮助 AI 智能体高效修复 SARIF 报告中的静态分析问题。
AI 智能体在处理大型静态分析报告时面临诸多挑战：
上下文过载 - 100+ 个问题会压垮上下文窗口
进度丢失 - 在上下文压缩或会话重启时工作进度会丢失
低效导航 - 没有批处理意味着要在文件之间反复跳转
Sheriff 通过充当工作队列管理器来解决这些问题：
智能批处理 - 按文件对问题分组，以便高效修复
进度持久化 - 状态在压缩、重启和智能体切换后依然保留
范围过滤 - 聚焦特定的规则、严重级别或文件模式
简洁响应 - 使用缩写字段名，最大限度减少上下文占用
Sheriff 可与任何生成 SARIF 输出的工具配合使用：
工具 | 语言 | SARIF 命令 |
Qodana | Java/Kotlin/JS/Python |
|
Semgrep | 多语言 |
|
ESLint | JavaScript/TypeScript |
|
CodeQL | 多语言 | 内置 SARIF 输出 |
SpotBugs | Java |
|
Bandit | Python |
|
Checkov | IaC |
|
Trivy | 容器/IaC |
|
SonarQube | 多语言 | 内置 SARIF 导出 |
Related MCP server: skillhub
从 Releases 下载 sheriff-mcp-1.0.2-all.jar。
docker pull ghcr.io/ryansmith4/sheriff-mcp:latest支持 MCP Registry 的客户端可以直接按名称安装：io.github.ryansmith4/sheriff-mcp
有关完整详情，请参阅安装指南。
将 Sheriff 添加到你的 MCP 客户端（Claude Code、Cursor、ChatGPT Desktop 等）：
{
"mcpServers": {
"sheriff": {
"command": "java",
"args": ["-jar", "/path/to/sheriff-mcp-1.0.2-all.jar", "start"]
}
}
}或者使用 Docker：
{
"mcpServers": {
"sheriff": {
"command": "docker",
"args": ["run", "-i", "--rm", "-v", ".:/data", "ghcr.io/ryansmith4/sheriff-mcp:latest"]
}
}
}有关特定客户端的说明和推荐的智能体指令，请参阅智能体设置指南。
1. Run static analysis → qodana scan
2. Load into Sheriff → sheriff load target="results.sarif"
3. Get next file's issues → sheriff next
4. Fix all issues in file → [edit the code]
5. Mark as done → sheriff done fps=[...] status="fixed"
6. Repeat 3-5 → until remaining = 0Sheriff 对外仅提供一个 sheriff 工具，包含 7 个操作：load、next、done、progress、summary、reopen 和 export。完整文档请参阅工具参考。
User: "Fix all ConstantValue issues in my codebase"
Agent: sheriff load target="build/qodana/qodana.sarif.json"
→ 136 total issues, 22 ConstantValue, 15 unused...
Agent: sheriff next scope={rule: "ConstantValue"}
→ 3 issues in Service.java with code snippets
Agent: [reads Service.java, fixes all 3 issues]
Agent: sheriff done fps=["88d32cab35478753", "ab1c2d3e12345678", "f9e8d7c6a1b2c3d4"] status="fixed"
→ 3 marked fixed, 19 remaining
... continues until remaining = 0所有发布产物均使用 Sigstore 签名，以保障供应链安全。
验证 JAR：
VERSION=1.0.2
cosign verify-blob \
--signature sheriff-mcp-${VERSION}-all.jar.sig \
--certificate sheriff-mcp-${VERSION}-all.jar.pem \
--certificate-identity-regexp "https://github.com/ryansmith4/sheriff-mcp" \
--certificate-oidc-issuer "https://token.actions.githubusercontent.com" \
sheriff-mcp-${VERSION}-all.jar验证 Docker 镜像：
cosign verify ghcr.io/ryansmith4/sheriff-mcp:latest \
--certificate-oidc-issuer=https://token.actions.githubusercontent.com \
--certificate-identity-regexp="github.com/ryansmith4/sheriff-mcp"有关我们的安全策略，请参阅 SECURITY.md。
欢迎贡献！有关指南，请参阅 CONTRIBUTING.md。
Apache License 2.0 - 请参阅 LICENSE
This server cannot be deployed
Assign Linear, Jira or GitHub issues to an AI coding agent team that plans, builds, reviews, tests.
Scores your code across 12 areas, with findings, fix prompts, and re-assessment in your AI agent
Hand tasks, bugs and finished work to AI coding agents, and get back a write-up with evidence.
Track issues, projects and dependencies with your agent in a workspace you control.
