一句话说明：把 mcp.json 粘进右侧，先校验语法，再按 十条规则 找出命令注入、明文密钥、越权访问与公网暴露，直接给出行号、修复说明和脱敏配置。
检查会先在浏览器里解析 JSON，解析失败时只提示语法，不会继续跑规则，避免误报。
点「开始检查」后，这里按等级从高到低列出命中项、字段路径与行号。
| 服务器 | 启动命令 | 命中 | 最高等级 |
|---|
只替换疑似密钥的字符串值，字段名与结构不变；分享或贴工单前请再确认占位符可被正确注入。
—
基于上面的命中清单生成逐条整改动作；首次点击会先弹出点选人机验证。
| 工具定位 | 面向 MCP 客户端的服务器配置（常见形态是 mcp.json 里的 mcpServers 段）做静态检查：解析 JSON、逐条匹配规则、给出风险等级与脱敏配置。它不执行任何命令，也不连接你的服务器。 |
|---|---|
| 十条规则 | 命令解释器、版本未锁定、明文密钥、家目录与绝对路径、公网监听、宽松权限参数、缺少超时、文件范围过大、缺少鉴权、内网地址。每条命中都会标出具体字段与行号。 |
| 风险分级 | 阻断（建议改完再用）、提醒（按使用场景决定）、提示（最佳实践）。总分按最高等级与命中数量折算，方便横向比较几份配置。 |
| 脱敏输出 | 把疑似密钥的值换成占位符再生成可复制的配置，只替换值不破坏结构；分享或贴到工单前建议仍自己再核对一遍。 |
| 语法校验 | 先用 JSON.parse 做严格解析，格式错误会直接指出出错位置附近的内容，不会在半解析状态下继续跑规则，避免误报。 |
| 边界说明 | 静态规则无法覆盖所有攻击面，命中不等于一定有漏洞，未命中也不等于安全；涉及生产环境请结合最小权限原则与人工复核。 |
把一段 mcp.json 粘进来，先看语法对不对，再按十条规则把命令注入、明文密钥、越权文件访问与公网暴露这些常见问题逐条挑出来。所有检查都在浏览器本地完成，配置不会上传。
检查完先别急着全网复制，确认脱敏后的占位符在自己的环境里能被正确替换，否则服务会启动失败。
不会。页面只用浏览器的 JSON.parse 解析文本并做字符串规则匹配，不发送网络请求，也不会运行配置里的任何命令。
支持标准 JSON，常见形态是顶层 mcpServers 对象；也兼容直接给一个服务器对象或数组。YAML、带注释的 JSONC 需要先转成标准 JSON。
未指定具体版本时，启动命令可能拉取到新发布的代码，既影响可复现性也扩大了供应链暴露面。建议固定到明确的版本号，再定期评估升级。
只替换被判定为疑似密钥的字符串值，字段名与结构保持不变。替换后请自行确认占位符能在你的环境里被正确注入。
不能这样理解。规则覆盖的是常见静态风险，无法判断运行时行为、依赖包本身的可信度与网络环境，生产环境仍需最小权限配置与人工复核。
本站所有 AI 解读接口在首次点击时都会先弹出点选人机验证，验证通过后请求才会发出；未验证不会生成内容，也不会消耗额度。
现在只有你自己能看到这条留言（已标上「待审核」），管理员审核通过后才会展示给所有人～
还没有留言，来抢沙发吧！