Heimdall MCP Server

社区

一个工具守护你的整个 App Store Connect 账户

分类: 开发工具第 108 / 438
Stars: ★ 53 热门
传输方式: stdio（本地进程）
运行环境: Node.js >=20.19
凭据: 需要 API Key / 凭据
许可证: MIT
最近提交: 5 天前
工具数: 1

61FMRS · C

Heimdall 以 Apple 官方 OpenAPI 规范生成全部 875 个工具，覆盖面在 App Store Connect MCP 服务器中少见，并额外支持 StoreKit 2。其配置档机制有效控制 token 成本，确认式写入与本地密钥存储在设计上注重安全。局限在于仅支持本地 stdio 运行、需要 Node 环境，且 2.x 存在破坏性变更。适合认真管理 App Store 发行的开发者，不适合寻求官方或远程托管方案的用户。

最强项 · 文档质量 14/20 最弱项 · 可靠性 8/20

可靠性

8/20

安全与权限

14/20

维护活跃度

12/20

文档质量

14/20

安装易用性

13/20

查看各项评分依据

可靠性 8/20: manifest 与 README 中的工具总数互相矛盾：对象描述称『875 个工具』，server.json 描述却写『890 个工具，可缩小到 27 个』，README 表格又写『monetization:subscription-pricing 是 24 个工具而非 204 个』，三处数字均不一致，说明生成的工具清单与文档未同步维护。仓库材料中没有附带任何 CI 工作流或测试文件可验证 MCP init/tool-list 握手或 875+ 个工具的实际行为，因此按静态校准规则可靠性上限为 12 分，实际给分需因数字矛盾与零可验证证据再扣分。
安全与权限 14/20: README 声明了写操作默认需确认（ASC_CONFIRM_WRITES 需显式关闭）、提供 --read-only 模式、破坏性操作有标注、请求限定 host、无遥测、私钥默认存放于 macOS Keychain 而非明文配置，环境变量中私钥字段被标记为 isSecret，整体设计体现了最小权限与默认安全的思路，且示例中未出现真实密钥或令牌，不触及红线。但这些均为 README/manifest 自述内容，未附带源码或 SECURITY.md 实际文本供核实，无法验证确认逻辑、host 锁定、Keychain 存取等是否真正实现，因此不能给满分。
维护活跃度 12/20: 项目采用 MIT 许可证，版本号为 2.3.0，README 引用了 CHANGELOG.md、GOVERNANCE.md、CONTRIBUTING.md、SECURITY.md 等治理文档，并说明了 2.0.0 的破坏性变更处理方式，显示出一定的版本管理规范。仓库未被归档，开放 issue 数为 0。但仅有单一维护者迹象（个人捐赠链接），且未提供实际的提交历史、发布节奏或 issue 响应时间等可核实证据，也未见 CI/自动化更新流程的直接材料，星标数不计入评分，因此维护活跃度只能判定为中等偏上但证据不足。
文档质量 14/20: 文档体系较为完整：README 双语（英/土）呈现，并链接到 GUIDE、SECURITY、SUPPORT、CHANGELOG、CONTRIBUTING、CODE_OF_CONDUCT、GOVERNANCE、AGENTS 等多个文档，涵盖安装、认证、配置示例、安全模式和多客户端注册流程。存在明显的内部数字不一致（875/890 总工具数，27/24 与 207/204 的子档缩减对比），削弱了文档与实际实现之间的可信度，且被链接的详细文档内容本身未提供以供核实。
安装易用性 13/20: manifest 结构清晰：npm 包、stdio 传输、可选的 positional profile 参数、明确列出所有环境变量及其是否必需/敏感，README 提供了一条 `npx -y @erayendes/asc-mcp setup` 命令并说明其会跨多个客户端注册配置文件，理论上安装步骤简单清楚。但因缺乏任何可执行证据（无 CI、无安装测试记录）验证该安装向导在真实环境下的行为，按静态校准规则安装易用性上限为 15 分，实际给分因缺乏可验证的真实运行记录而有所保留。

静态评测 · 未实际运行收录于 2026-09-07

查看 FMRS 评分方法 →

选型与风险

能访问什么访问网络修改第三方账户数据

适合谁

需要覆盖 App Store Connect 全部端点的 iOS/macOS 开发者与发行团队
希望处理订阅、内购、StoreKit 2 交易与退款的人
想在交互中安全执行写入操作、重视密钥本地保管的用户
使用 Claude、Codex、Cursor 等多种 MCP 客户端并希望统一注册的团队

不适合谁

不愿本地安装 Node 或偏好远程 HTTP 服务器的用户
期望由服务器代为生成营销/回复文案（本文本由你自己的模型生成）的人
寻求 Fastlane 等脚本化 CI 流水线替代品的人（作者定位其为 Fastlane 的交互补充）
与 Apple 无关联，不适用于寻求官方工具的用户

所需权限

读取 App Store Connect API 密钥（Key ID、Issuer ID、.p8 私钥）
访问 Apple App Store Connect 与 App Store Server API
StoreKit 2 交易工具需要提供应用的 Bundle ID
可选写入权限：默认写入前确认，可用 ASC_CONFIRM_WRITES=0 关闭或 --read-only 完全移除写入类工具

风险与副作用

.p8 私钥泄露等于交出对应角色的 App Store 账户签名权；务必使用 Keychain 存储，避免粘贴到明文配置
具有写权限的工具可能更改价格、提交审核或删除资源；虽然默认确认，误读的指令仍可能在确认后被执行
2.x 为破坏性版本，1.x 配置中的配置档名称可能已变更
全量工具面超过 10 万 token，若不缩小配置档会大量消耗上下文
无遥测、本地运行意味着需自行跟进版本更新

安装接入

准备工作

运行环境：Node.js >=20.19

ASC_PRIVATE_KEY 可选密钥 .p8 私钥的 PEM 文本；优先用 setup 存入 macOS Keychain，仅在无 Keychain 的环境（如 CI）设置。

其他可选配置项（4 个）

ASC_KEY_ID 可选 App Store Connect API 密钥的 Key ID，通常由 setup 向导自动写入。

ASC_ISSUER_ID 可选 App Store Connect 的 Issuer ID（UUID 格式），通常由 setup 自动写入。

ASC_PRIVATE_KEY_PATH 可选 .p8 文件路径，是粘贴私钥内容的替代方式；非 macOS 上由 setup 记录。

ASC_BUNDLE_ID 可选单个应用的 Bundle ID，仅 monetization profile 的 StoreKit 2 交易工具需要。

运行 npx -y @erayendes/asc-mcp setup。设置向导会一次性索取 API 密钥、安全存储（macOS 下存入 Keychain），并将所选配置档注册到本机的 Claude、Codex、Cursor、Windsurf、VS Code 等 MCP 客户端。若由 AI 代理安装，代理用 register 添加配置档，密钥由用户亲自运行 setup 录入。可选环境变量：ASC_KEY_ID、ASC_ISSUER_ID、ASC_PRIVATE_KEY（机密）、ASC_PRIVATE_KEY_PATH、ASC_BUNDLE_ID。需 Node >= 20.19。安装后可在启动参数中传入配置档（如 monetization 或 monetization:subscription-pricing）。

claude_desktop_config.json

{"mcpServers":{"heimdall":{"command":"npx","args":["-y","@erayendes/asc-mcp","setup"]}}}

以 Claude Desktop 为例。其他客户端的配置文件位置或字段可能不同（如 VS Code 使用 servers 字段），可用下方配置生成器转换。

.vscode/mcp.json

{
  "servers": {
    "heimdall": {
      "command": "npx",
      "args": [
        "-y",
        "@erayendes/asc-mcp",
        "setup"
      ]
    }
  }
}

写入项目的 .vscode/mcp.json（VS Code 使用 servers 字段）。

Terminal

claude mcp add heimdall -- npx -y @erayendes/asc-mcp setup

在终端运行；先把 <…> 占位符换成你自己的值。

生成并校验客户端配置

验证是否装好

运行 npx -y @erayendes/asc-mcp setup 注册 profile 后，在客户端工具列表中应能看到 asc__search_tools；询问“有没有管理 TestFlight 构建的工具”并得到回答即证明连接成功。

常见排障

确认已运行 setup 且 ASC_KEY_ID / ASC_ISSUER_ID / .p8 凭据有效
macOS 上检查私钥是否在 Keychain 中；CI 等无 Keychain 环境改用 ASC_PRIVATE_KEY 或 ASC_PRIVATE_KEY_PATH
若找不到某工具，用 asc__search_tools 查询其所在配置档并注册该档
从 1.x 升级后工具缺失，对照 changelog 检查配置档名称
写入被拒绝时检查确认机制是否被 ASC_CONFIRM_WRITES=0 或 --read-only 影响
确认 Node 版本 >= 20.19

试试这样问

连接成功后，可以直接对 AI 助手这样说：

搜索有没有管理应用内事件的工具，并告诉我在哪个 profile 里。
总结本周的一星评价并起草回复。
哪些构建版本卡在了审核阶段？
把这个订阅的价格在所有地区都提高。

工具能力 1

asc__search_tools 只读

搜索全部工具（包括尚未加载的），并告知所需工具位于哪个配置档

使用场景

总结本周一星评论并起草回复

查询哪些 build 卡在审核中

在所有地区上调订阅价格

管理 TestFlight 构建、版本与分阶段发布

查询订阅、内购、交易、退款与财务报表

支持客户端

Claude Desktop

Claude

Codex

Cursor

Windsurf

VS Code

Antigravity

依据项目文档列出，未经本站实测。

详细介绍

Heimdall 是一个本地运行（stdio）的 MCP 服务器，面向 Apple App Store Connect API 和 App Store Server API（StoreKit 2）。所有工具均由 Apple 官方 OpenAPI 规范（v4.4.1，966 个路径、982 个操作）生成，共 875 个工具，划分为 13 个配置档和 32 个子配置档，可进一步缩小范围（如 monetization:subscription-pricing 仅 24-27 个工具），以节省上下文 token。它还提供评论分诊与回复起草功能，文本由你自己的模型生成，无需第二个 API 密钥。写入操作默认需确认，支持 --read-only 模式、破坏性操作标注、无遥测；.p8 私钥存放在 macOS Keychain 而非明文配置中。非 Apple 官方项目，MIT 许可。