AI Security Crew

社区

为 vibe coding 打造的安全审查 MCP 服务器

分类: 开发工具第 95 / 438
Stars: ★ 73 热门
传输方式: stdio（本地进程） · Streamable HTTP · SSE
运行环境: Docker · Python
凭据: 可选 API Key
许可证: MIT
最近提交: 7 天前
工具数: 8

62FMRS · C

AI Security Crew 是一个实用的 MCP 服务器，专为 vibe coding 场景设计，提供安全审查、依赖扫描和威胁建模功能。它集成了 OWASP 指南，并支持 Jira/Confluence 集成。适合追求快速开发但注重安全的个人和团队，但需注意配置和可达性分析的局限性。

最强项 · 安全与权限 16/20 最弱项 · 可靠性 7/20

可靠性

7/20

安全与权限

16/20

维护活跃度

12/20

文档质量

15/20

安装易用性

12/20

查看各项评分依据

可靠性 7/20: 服务器清单缺失，无法确认工具声明与实现的匹配性。README声称通过MCP初始化握手发送工作流指令，但缺少samples/目录或tests.xml等验证性证据。仓库包含CI徽章，但未在提供的文件中看到实际CI配置或测试代码。因此，可靠性评分保守地设为7，因为尽管有测试徽章，但缺乏可执行的验证证据。
安全与权限 16/20: 服务器以Docker运行，并通过环境变量接收Jira/Confluence凭证，避免了在配置文件中硬编码。README建议使用API令牌或OAuth，且明确警告不要提交API令牌，因此没有红线的凭证泄露风险。然而，配置示例中包含了'auth'字段的占位符，这是不恰当的，且未明确说明工具对凭证的最小权限需求或确认机制。因此扣分，但未达红线，故评分16。
维护活跃度 12/20: 仓库有MIT许可证，且显示有68个星标和4个未解决的问题，表明有一定社区关注。但未提供提交历史、版本发布或依赖更新信息。考虑到活跃度信号有限，且缺少维护时间线的证据，评分12。
文档质量 15/20: README提供了安装说明、工具列表、认证方法和示例配置，覆盖了主要方面。但缺少详细的工具参数说明、限制和故障排除指南。例如，未明确说明每个工具的具体输入输出参数，也未提供常见问题的解决方法。因此，文档可用但不够全面，评分15。
安装易用性 12/20: 提供了Docker构建和IDE配置示例，以及HTTP传输选项，但未提供像npx或uvx这样的非Docker安装方式。未提供客户端配置的完整示例，如Claude Desktop或Cursor的完整配置。因此，安装路径清晰但灵活性有限，评分12。

静态评测 · 未实际运行收录于 2026-08-07

查看 FMRS 评分方法 →

选型与风险

能访问什么访问网络

适合谁

喜欢快速编码但需要安全指导的开发者
使用 Claude Code、Cursor 等 AI 编码工具的用户
需要集成 Jira 和 Confluence 的团队

不适合谁

需要深度安全审计或合规报告的企业
没有 Docker 环境的用户（或可改用插件）
不需要威胁建模或 CVE 扫描的项目

所需权限

访问文件系统（写入 threat-model.md）
网络访问（调用 OSV.dev、Jira、Confluence API）
环境变量中的 API 令牌（Jira、Confluence）

风险与副作用

安全审查基于 OWASP 指南，但可能不覆盖所有场景
依赖扫描可达性分析可能不准确
需要配置 Jira/Confluence 令牌，如果配置不当可能泄露
自动注入安全要求可能改变编码流程

安装接入

准备工作

运行环境：Docker · Python

JIRA_API_TOKEN 可选密钥 Jira Cloud API token，在 Atlassian 账户设置中创建。

JIRA_PERSONAL_TOKEN 可选密钥 Jira Server/Data Center 的个人访问令牌，替代 API token。

CONFLUENCE_API_TOKEN 可选密钥 Confluence Cloud API token，在 Atlassian 账户设置中创建。

CONFLUENCE_PERSONAL_TOKEN 可选密钥 Confluence Server/Data Center 的个人访问令牌。

其他可选配置项（4 个）

JIRA_URL 可选 Jira 站点地址（如 https://your-domain.atlassian.net），用于 assess_ticket_security 读取工单。

JIRA_USERNAME 可选 Jira 账户邮箱，配合 API token 认证。

CONFLUENCE_URL 可选 Confluence 站点地址，用于威胁模型的搜索与持久化。

CONFLUENCE_USERNAME 可选 Confluence 账户邮箱。

构建镜像：docker build -t mcp-security-review:latest .
在 MCP 客户端（如 Claude Desktop、Cursor）配置 MCP 服务器，参考配置示例。
或使用 Claude Code 插件：/plugin install Srajangpt1/ai_security_crew
或手动添加 .claude/commands/ 中的斜杠命令到项目。

claude_desktop_config.json

{
  "mcpServers": {
    "sec-review": {
      "command": "docker",
      "args": [
        "run",
        "--rm",
        "-i",
        "-e",
        "JIRA_URL",
        "-e",
        "JIRA_USERNAME",
        "-e",
        "JIRA_API_TOKEN",
        "-e",
        "CONFLUENCE_URL",
        "-e",
        "CONFLUENCE_USERNAME",
        "-e",
        "CONFLUENCE_API_TOKEN",
        "mcp-security-review:latest"
      ],
      "env": {
        "PATH": "/usr/local/bin:/usr/bin:/bin",
        "JIRA_URL": "https://your-domain.atlassian.net",
        "JIRA_USERNAME": "[email protected]",
        "JIRA_API_TOKEN": "your-token"
      }
    }
  }
}

以 Claude Desktop 为例。其他客户端的配置文件位置或字段可能不同（如 VS Code 使用 servers 字段），可用下方配置生成器转换。

.vscode/mcp.json

{
  "servers": {
    "sec-review": {
      "command": "docker",
      "args": [
        "run",
        "--rm",
        "-i",
        "-e",
        "JIRA_URL",
        "-e",
        "JIRA_USERNAME",
        "-e",
        "JIRA_API_TOKEN",
        "-e",
        "CONFLUENCE_URL",
        "-e",
        "CONFLUENCE_USERNAME",
        "-e",
        "CONFLUENCE_API_TOKEN",
        "mcp-security-review:latest"
      ],
      "env": {
        "PATH": "/usr/local/bin:/usr/bin:/bin",
        "JIRA_URL": "https://your-domain.atlassian.net",
        "JIRA_USERNAME": "[email protected]",
        "JIRA_API_TOKEN": "your-token"
      }
    }
  }
}

写入项目的 .vscode/mcp.json（VS Code 使用 servers 字段）。

Terminal

claude mcp add sec-review -e PATH=/usr/local/bin:/usr/bin:/bin -e JIRA_URL=https://your-domain.atlassian.net -e [email protected] -e JIRA_API_TOKEN=your-token -- docker run --rm -i -e JIRA_URL -e JIRA_USERNAME -e JIRA_API_TOKEN -e CONFLUENCE_URL -e CONFLUENCE_USERNAME -e CONFLUENCE_API_TOKEN mcp-security-review:latest

在终端运行；先把 <…> 占位符换成你自己的值。

生成并校验客户端配置

验证是否装好

构建镜像并在客户端连接后，工具列表中应出现 lightweight_security_review 等工具；调用 lightweight_security_review 能返回安全要求即证明连接成功。

常见排障

检查 Docker 是否运行且镜像已构建
验证环境变量（JIRA_URL、CONFLUENCE_URL 等）是否正确设置
确认 API 令牌有效且具有必要权限
对于 HTTP 传输，确保端口 8000 未被占用

试试这样问

连接成功后，可以直接对 AI 助手这样说：

在开始编码前做一次轻量级安全审查，给出我这个技术栈的安全要求

工具能力 8

lightweight_security_review 只读

在任何编码任务前调用，获取针对技术栈的安全要求和指南。

assess_ticket_security 只读

在基于 Jira 工单编码前，从工单中提取安全要求。

perform_threat_model 只读

为重要新功能生成结构化的威胁模型（STRIDE、攻击面）。

verify_packages 只读

添加包时确认其存在且版本有效，防止幻觉包名。

scan_dependencies 只读

添加包时扫描 CVE，并检查代码中的可达性。

verify_code_security 只读

代码生成后，根据 OWASP 指南进行 AI 安全审查。

search_previous_threat_models 只读

在创建新威胁模型前，检查 Confluence 中是否已有模型。

update_threat_model_file 写入

在 perform_threat_model 后，将威胁模型写入仓库中的 threat-model.md。

使用场景

vibe coding 时确保代码安全

在编码前获取安全要求

扫描依赖 CVE

生成威胁模型

代码生成后验证安全性

支持客户端

Claude Desktop

Cursor

Claude Code

依据项目文档列出，未经本站实测。

详细介绍

AI Security Crew 是一个轻量级 MCP 服务器，专为 vibe coding 设计，在代码生成前注入安全要求，扫描依赖 CVE，并验证生成的代码，不打断编码节奏。它提供工具用于安全审查、Jira 工单评估、威胁建模、包验证、依赖扫描和代码安全验证。同时可作为 Claude Code 插件，提供 /sec-review、/verify-code 和 /threat-model 命令。