BountyLens MCP Server

官方

把 BountyLens 漏洞赏金追踪台接入 Claude Code

分类: 其他第 101 / 230
Stars: ★ 65 热门
传输方式: stdio（本地进程）
运行环境: Node.js 18+
凭据: 需要 API Key / 凭据
许可证: MIT
最近提交: 3 个月前
工具数: 23

56FMRS · C

README 描述这是 BountyLens 官方发布的 MCP 服务器（同仓库 bountylens/mcp 与包名 @bountylens/mcp），通过 stdio 方式以 npx 启动，提供 23 个工具覆盖会话、条目、报告、搜索、项目和情报六大类，需要 API Key 鉴权并要求 Pro 订阅；文档说明了密钥哈希存储、参数化查询和资源归属校验等安全措施，但删除类操作不可逆，需要谨慎使用。

最强项 · 文档质量 16/20 最弱项 · 可靠性 6/20

可靠性

6/20

安全与权限

12/20

维护活跃度

9/20

文档质量

16/20

安装易用性

13/20

查看各项评分依据

可靠性 6/20: 仓库清单标记为“未缓存”，无法核对 README 中声明的 23 个工具与实际服务器行为是否一致；也未见任何测试文件、CI 工作流或错误处理/重试机制的描述。README 对工具参数和返回结构的描述看似合理、内部自洽，但缺乏可复核的执行证据（无脚本、无测试、无日志样例），按静态评审规则不得超过 12 分，鉴于清单缺失进一步扣分。
安全与权限 12/20: 认证方式为 Bearer API Key，通过环境变量传入，安装示例中使用占位符而非真实密钥，未发现凭据泄露。README 声称密钥经 SHA-256 哈希存储、参数化查询防注入、每次请求校验资源归属防越权、订阅校验与速率限制（60次/分钟），但这些均为未经验证的自述声明。更值得关注的是 delete_session/delete_entry/delete_report 等不可逆删除操作（尤其 delete_session 会级联删除该会话下所有条目和报告），工具描述中未见显式二次确认参数或软删除/回收机制，存在误删风险；由于删除范围限定在用户自身数据且非系统级/支付/远程执行操作，未达到红线级别，但需扣分。
维护活跃度 9/20: 仓库为 MIT 许可、非归档状态，64 星、0 未解决 issue，但提供材料中不包含提交历史、发布节奏、CHANGELOG 或安全响应渠道等可验证信息，无法判断维护活跃度或版本管理成熟度，只能给出中等偏低分数。
文档质量 16/20: README 结构完整，涵盖快速开始、环境变量表、23 个工具按类别列出的参数说明、完整 REST API 端点列表、标签约定、使用示例和安全声明，信息量较大且组织清晰。不足之处在于缺少故障排查（troubleshooting）章节、错误码说明、版本兼容性说明，且要求付费 Pro 订阅这一前提条件仅在末尾简单提及，未充分强调其对使用门槛的影响。
安装易用性 13/20: 安装步骤简洁：通过 npx 直接运行、仅需配置一个必需环境变量、并提供了 Claude Code 的 JSON 配置示例，理论上门槛低。但由于是纯静态审查，没有证据表明该配置在真实环境中被执行验证过（无 CI、无测试），根据评审规则安装易用性上限为 15 分；同时该服务器还依赖外部付费订阅（Pro）才能实际使用，增加了达到“可用连接”状态的隐性成本。

静态评测 · 未实际运行收录于 2026-08-26

查看 FMRS 评分方法 →

选型与风险

能访问什么访问网络修改第三方账户数据

适合谁

拥有 BountyLens Pro 订阅、日常在终端中使用 Claude Code 进行漏洞赏金狩猎或授权渗透测试的安全研究人员
希望把发现、线索、测试记录和报告草稿流程与 AI 助手工作流打通的独立猎人或团队

不适合谁

没有 BountyLens 账号或 Pro 订阅的用户
需要脱离 BountyLens 生态、使用其他漏洞管理平台的团队
寻找通用漏洞扫描或自动化攻击工具的用户——该服务器仅做记录、搜索与情报查询，不执行任何主动扫描或攻击

所需权限

需要一个 BountyLens API Key（通过环境变量 BOUNTYLENS_API_KEY 提供），该密钥拥有你账号下会话、条目、报告及项目情报的读写权限
网络访问权限，用于调用 BountyLens API（默认 bountylens.com，或自托管的 BOUNTYLENS_URL）

风险与副作用

API Key 一旦泄露，攻击者可读取或篡改你账号下的全部狩猎会话、发现和未提交的报告草稿（可能包含敏感的漏洞细节）
delete_session、delete_entry、delete_report 等操作会永久删除数据且不可恢复，误用可能导致工作成果丢失
报告草稿等内容会实时同步到网页版控制台，需注意本地终端环境的访问控制
API 限流为每个密钥每分钟 60 次请求，高频批量操作可能触发限流

安装接入

准备工作

运行环境：Node.js 18+

BOUNTYLENS_API_KEY 必填密钥 BountyLens API密钥，在 bountylens.com/dashboard/settings 的 Integrations 页面生成，仅显示一次，必填。

其他可选配置项（1 个）

BOUNTYLENS_URL 可选可选，自定义实例URL（自托管），默认为 https://bountylens.com。

登录 bountylens.com/dashboard/settings，进入 Integrations，生成新的 API Key 并立即复制保存（仅显示一次）。
在 ~/.claude/.mcp.json 中添加 bountylens 服务器配置，command 为 npx，args 为 ["-y", "@bountylens/mcp"]，并在 env 中设置 BOUNTYLENS_API_KEY 为你的密钥；如需自托管实例，另设 BOUNTYLENS_URL。
重启 Claude Code，工具即可直接使用，无需其他配置。
前提：Node.js 18+，且需要 BountyLens Pro 订阅。

.mcp.json

{"mcpServers":{"bountylens":{"command":"npx","args":["-y","@bountylens/mcp"],"env":{"BOUNTYLENS_API_KEY":"bl_your_key_here"}}}}

以 Claude Code 为例。其他客户端的配置文件位置或字段可能不同（如 VS Code 使用 servers 字段），可用下方配置生成器转换。

.vscode/mcp.json

{
  "servers": {
    "bountylens": {
      "command": "npx",
      "args": [
        "-y",
        "@bountylens/mcp"
      ],
      "env": {
        "BOUNTYLENS_API_KEY": "bl_your_key_here"
      }
    }
  }
}

写入项目的 .vscode/mcp.json（VS Code 使用 servers 字段）。

Terminal

claude mcp add bountylens -e BOUNTYLENS_API_KEY=bl_your_key_here -- npx -y @bountylens/mcp

在终端运行；先把 <…> 占位符换成你自己的值。

生成并校验客户端配置

验证是否装好

重启Claude Code后，在工具列表中应能看到以 bountylens_ 开头的23个工具；也可以直接输入"列出我的活跃会话"，能返回会话即说明连接成功。

常见排障

工具未出现：确认 ~/.claude/.mcp.json 配置正确后已重启 Claude Code
鉴权失败：检查 BOUNTYLENS_API_KEY 是否正确、未过期，密钥仅在创建时显示一次，如遗失需重新生成
连接自托管实例失败：确认已设置 BOUNTYLENS_URL 且实例可访问
功能受限或调用被拒：确认 BountyLens 账号处于有效的 Pro 订阅状态，因为每次 API 调用都会校验订阅状态
请求被拒或响应变慢：检查是否触发了每分钟 60 次的速率限制

试试这样问

连接成功后，可以直接对 AI 助手这样说：

列出我的活跃会话
把这个XSS发现保存到我的Shopify会话里
我以前在哪些目标上测试过SSRF？
这个月我花了多少时间做漏洞挖掘？

工具能力 23

bountylens_list_sessions 只读

列出狩猎会话，可按状态（active/paused/completed）、项目 ID 或项目 handle 过滤

bountylens_create_session 写入

创建一个新的狩猎会话，指定标题，并可选关联赏金项目（按 ID 或 handle）

bountylens_get_session 只读

获取某个会话及其全部条目和统计计数

bountylens_update_session 写入

更新会话的标题、状态或备注

bountylens_delete_session 破坏性

永久删除某个会话及其所有条目和报告

bountylens_list_entries 只读

列出某会话中的条目，可按类型（tested/lead/finding/note）和/或标签过滤

bountylens_add_finding 写入

记录一个已验证的漏洞发现，包含严重程度、端点、方法、描述、标签、链式 ID

bountylens_add_lead 写入

记录一个有价值的线索，支持标签、链式 ID、重测时间

展开其余 15 个工具

bountylens_add_tested 写入

标记某个端点或功能已测试，支持标签、重测时间

bountylens_add_note 写入

为会话添加一条自由格式备注，支持标签

bountylens_update_entry 写入

更新条目的标题、描述、状态、严重程度、类型、端点、方法、标签、链式 ID、重测时间（传入 tags 会整体替换原标签）

bountylens_delete_entry 破坏性

删除一个条目

bountylens_bulk_add_entries 写入

一次调用最多批量添加 50 个条目，每项支持标签、链式 ID、重测时间

bountylens_draft_report 写入

创建报告草稿，包含摘要、复现步骤、影响和修复建议

bountylens_list_reports 只读

列出某会话中的所有报告草稿

bountylens_update_report 写入

编辑报告的标题、正文、严重程度或状态（草稿/就绪/已提交的流程状态，或已解决/重复/信息性/不适用的关闭结果）

bountylens_delete_report 破坏性

永久删除一份报告

bountylens_search_entries 只读

跨所有会话搜索匹配查询的条目，用于在不知道具体会话的情况下查找历史发现、线索或已测试端点

bountylens_search_programs 只读

按名称或 handle 搜索漏洞赏金项目

bountylens_get_program 只读

获取项目完整详情——悬赏金额、重复风险、健康评分、范围列表及近期范围变更

bountylens_recommend_programs 只读

按机会评分获取推荐项目，可按平台或最低悬赏金额过滤

bountylens_get_watchlist 只读

获取关注列表中的项目及其指标——悬赏、重复风险、健康度、范围变更和会话数量

bountylens_get_my_stats 只读

获取个人狩猎统计——会话数、发现数、线索数、已测试端点数、用时以及按项目的细分数据

使用场景

在渗透测试或漏洞赏金狩猎过程中，直接用自然语言把发现、线索和已测试端点记录到对应会话

在不确定历史记录所属会话的情况下，跨全部会话搜索此前是否测试过某类漏洞（如 SSRF）

查询漏洞赏金项目的范围、悬赏金额、重复风险和健康评分，辅助选择下一个目标

把本地写好的报告草稿文件内容推送为 BountyLens 报告草稿

查看个人狩猎统计数据，了解本月投入时间及各项目的产出分布

支持客户端

Claude Code

依据项目文档列出，未经本站实测。

详细介绍

BountyLens MCP 服务器让 Claude Code 直接连接到 BountyLens（bountylens.com）的 Hunter Tracker。你可以在终端里记录发现（finding）、线索（lead）、已测试端点，起草完整的报告草稿，跨所有会话（session）搜索历史记录，查询漏洞赏金项目情报，并跟踪个人狩猎统计数据；写入的内容会带有 MCP 标记实时同步到网页版控制台。服务器通过 npx 以 stdio 方式运行，使用 BOUNTYLENS_API_KEY 进行鉴权，调用 BountyLens API v1（默认 https://bountylens.com，支持自托管实例）。