secretscan-mcp-server

一个 MCP 服务器，用于扫描 diff、文件内容或粘贴的片段，以发现意外提交的机密——这样任何兼容 MCP 的代理都可以在提交、打开 PR 或粘贴日志摘录之前自我检查其更改。完全本地化：无需 API 密钥，无需网络调用，除了 MCP SDK 和 Zod 之外没有其他依赖。

为什么

泄露的凭据是导致账户和基础设施受损的最常见现实原因之一，也是在大规模 diff 中最容易犯的错误之一——调试用的 console.log 中带有真实的 API 密钥、意外提交的配置文件、在寻求帮助时粘贴到聊天中的 .env。即将提交、推送或分享文本的代理，如果有一种廉价的方式来检查，就完全有能力在发生之前捕获这一点。

Related MCP server: opzyai

工具

scan_for_secrets

根据一组固定的提供商格式签名以及一个通用的、基于熵的启发式规则扫描文本：

发现结果始终经过脱敏——AKIAIOSFODNN7EXAMPLE 会报告为 AKIA************MPLE (20 chars)，绝不会完整显示。因此，该工具自身的输出可以安全地记录或显示，而不会进一步传播它发现的内容。

这是固定模式 + 启发式扫描，并非穷尽式。干净的结果意味着“没有已知模式匹配”，而不是“绝对安全”——应用内输出会明确说明这一点。

安装和配置

git clone https://github.com/wedo911/secretscan-mcp-server.git
cd secretscan-mcp-server
npm install
npm run build

将其添加到您的 MCP 客户端配置中（例如 claude_desktop_config.json，或 Claude Code 项目的 .mcp.json）：

{
  "mcpServers": {
    "secretscan": {
      "command": "node",
      "args": ["/absolute/path/to/secretscan-mcp-server/dist/index.js"]
    }
  }
}

运行测试

npm run build
node --test tests/entropy.test.mjs tests/detectors.test.mjs

24 个测试，包括针对每个命名检测器的测试、通用检测器的占位符和低熵过滤行为，以及一个显式检查，确保脱敏输出永远不会包含完整的秘密值。

无需客户端即可试用

npx @modelcontextprotocol/inspector --cli node dist/index.js \
  --method tools/call --tool-name scan_for_secrets \
  --tool-arg text='aws_access_key_id = AKIAIOSFODNN7EXAMPLE'

（这是 AWS 官方公开文档中的示例密钥 —— 不是真实凭据。）

许可证

MIT — 参见 LICENSE。