pci-dss-mcp

Statischer Analyse-MCP-Server für Go-Zahlungsdienst-Codebasen. Jeder erkannte Verstoß gegen PCI DSS v4.0.1 in einer Go-Zahlungsdienst-Codebasis wird vor der Bereitstellung des Codes der spezifischen Anforderungsnummer zugeordnet.

Funktionsweise

pci-dss-mcp ist ein stdio-MCP-Server, der 12 Scanner, einen Orchestrator und eine KI-Triage-Engine über einer Go-Zahlungsdienst-Codebasis ausführt. Jeder Befund enthält eine requirement_id, die einem spezifischen PCI DSS v4.0.1-Listenpunkt zugeordnet ist; siehe docs/requirement-mapping.md für die kanonische Regel-zu-Anforderungs-Tabelle und testdata/vulnerable-payment-service/EXPECTED-FINDINGS.md für Live-Beispielausgaben.

Was pci-dss-mcp heute erkennt

• HTTP-Framework-Datenfluss in Log- / Fehler- / Panic-Senken. Tier-1-Frameworks (gin, chi, gorilla/mux, net/http (Go 1.22+), echo v4, fiber v2) und Tier-1-Logger (log/slog, logrus, zap, zerolog, logr, klog, hclog) sind ab v0.7 enthalten. Tier 2 (kratos, apex/log, charmbracelet/log) folgt in v0.8. Tier 3 (fasthttp, beego, iris, httprouter, projektintern) ist nach der Veröffentlichung über Phase 25 YAML benutzerkonfigurierbar. Siehe docs/http_input_taint.md.

Was pci-dss-mcp NICHT ist

• Kein Ersatz für umfassende SAST-Tools. Verwenden Sie Semgrep, CodeQL oder gosec für OWASP Top-10 und sprachunabhängige Schwachstellen.

• Kein Ersatz für LLM-basierte Code-Reviews. pci-dss-mcp ordnet zahlungsspezifische Probleme PCI DSS-Anforderungs-IDs zu; LLM-Agenten erkennen allgemeine Fehler durch logisches Schlussfolgern. Die beiden Ebenen ergänzen sich.

• Nicht Go-agnostisch. Go-spezifische AST-Muster und die Verfolgung von Taint-Datenflüssen ermöglichen die hohe Präzision.

• Kein Ersatz für einen QSA. Statische Analysen decken etwa 6 % der PCI DSS v4.0.1-Anforderungen ab. Ein Qualified Security Assessor (QSA) muss den Rest abnehmen.

Related MCP server: secureaudit-mcp

Installation

Go-Installation (primär)

Erfordert Go 1.25+:

go install github.com/shyshlakov/pci-dss-mcp@latest

Die Binärdatei landet unter $(go env GOPATH)/bin/pci-dss-mcp. Siehe docs/install-from-source.md für die PATH-Auflösung, den macOS codesign-Provenienz-Fix, die cosign-Verifizierung und die MCP-Client-JSON-Konfiguration.

Docker (alternativ)

docker pull ghcr.io/shyshlakov/pci-dss-mcp:v0.6.2

Nützlich für CI-Pipelines, QSA-Auditoren, die Go nicht lokal entwickeln, oder Umgebungen ohne Go-Toolchain auf dem Host.

MCP-Registry

Gelistet als io.github.shyshlakov/pci-dss-mcp unter registry.modelcontextprotocol.io. Wird bei jedem Tag automatisch veröffentlicht.

Verwendung

Fügen Sie dies Ihrer MCP-Client-Konfiguration hinzu (Claude Desktop claude_desktop_config.json, Cursor .cursor/mcp.json oder claude mcp add für Claude Code):

{
  "mcpServers": {
    "pci-dss-mcp": {
      "command": "docker",
      "args": ["run", "-i", "--rm",
        "--mount", "type=bind,src=/Users/you/go/src,dst=/Users/you/go/src,readonly",
        "ghcr.io/shyshlakov/pci-dss-mcp:v0.6.2"]
    }
  }
}

src= und dst= spiegeln denselben absoluten Pfad wider, sodass der Container Ihren Code unter demselben Pfad sieht wie Ihr Host; Prompts übergeben den normalen Host-Pfad ohne Übersetzung. Für die go install-Variante und client-spezifische Beispiele siehe docs/usage.md.

Zwei Prompts zum Einfügen in Ihren MCP-Client:

1. Run pci-dss-mcp triage on /Users/you/payments-service. Use min_severity=MEDIUM and group findings by PCI DSS requirement.

2. Generate a PCI DSS compliance report for /Users/you/payments-service in JSON format. Show requirement-level pass/fail status and severity counts.

Tools

Alle Tools deklarieren ein typisiertes OutputSchema. Siehe docs/tools.md für den Katalogindex und die Migrationshistorie.

Dokumentation

• docs/usage.md, Client-Einrichtung, Prompt-Vorlagen, Unterdrückung von Befunden

• docs/severity.md, Schweregrad-Modell und Regel-zu-Schweregrad-Zuordnung

• docs/taint.md, Standardeinstellungen und Optionen für die Taint-Analyse

• docs/scoping.md, Paketausschluss und CDE-Geltungsbereich

• docs/comparison.md, pci-dss-mcp vs Semgrep / CodeQL / gosec / Snyk Code

• docs/ci-cd.md, GitHub Actions und GitLab CI-Integration

• docs/pci-coverage.md, Abdeckungsmatrix für PCI DSS v4.0.1-Anforderungen

• docs/install-from-source.md, Quellcode-Build, cosign-Verifizierung, Neuladen

• docs/requirement-mapping.md, kanonische rule_id zu requirement_id-Tabelle

• CONTRIBUTING.md, Entwicklungseinrichtung, Fuzz-Targets

• ROADMAP.md, geplante Funktionen

• CHANGELOG.md, Versionshistorie

Status

Aktive Entwicklung, vor v1.0. Siehe ROADMAP.md und CHANGELOG.md.

Lizenz

MIT, siehe LICENSE.

pci-dss-mcp ist ein Tool zur statischen Analyse. Es kann einen Qualified Security Assessor nicht ersetzen. Verwenden Sie die Ausgabe als Input für Ihren Compliance-Prozess, nicht als Compliance selbst.