Code Pathfinder

社区

面向安全团队的代码智能与跨文件污点分析 MCP 服务器。

分类: 开发工具第 199 / 438
Stars: ★ 142 热门
传输方式: stdio（本地进程）
运行环境: Python · 预编译二进制 · Docker
凭据: 无需凭据
许可证: Apache-2.0
最近提交: 4 个月前

54FMRS · D

来源显示 Code Pathfinder 是 Apache-2.0 授权的开源安全分析 MCP 服务器，版本为 2.1.1，提供 PyPI 和 OCI 分发方式，并使用 stdio 传输。其核心特色是跨文件、跨函数的数据流和污点分析；但来源没有列出具体 MCP 工具标识符、客户端配置示例或官方客户端认证信息。

最强项 · 文档质量 13/20 最弱项 · 可靠性 8/20

可靠性

8/20

安全与权限

10/20

维护活跃度

12/20

文档质量

13/20

安装易用性

11/20

查看各项评分依据

可靠性 8/20: Manifest 提供了固定版本的 PyPI 与 OCI stdio 安装路径，并声明 serve 与 --project 参数，启动流程在静态上可行。README 声称支持调用图、数据流、模式搜索和安全规则，但没有提供 MCP 初始化、工具列表、错误处理或服务器关键路径测试证据；manifest 描述为 Python/Go，而 README 又将 Go 标为“Coming soon”，因此扣分。
安全与权限 10/20: 服务器主要面向本地项目索引和静态分析，未显示凭据窃取、破坏性写操作或远程命令默认执行，且没有要求 API 密钥。安全规则会自动从 CDN 下载，README 还声明存在匿名使用指标；虽然可通过参数禁用指标，但未说明网络访问、上传边界、规则完整性校验、文件权限或 MCP 工具的最小权限与危险操作确认，因此只能给中等分数。
维护活跃度 12/20: 仓库未归档，提供 v2.1.1 版本、Apache-2.0 许可证、GitHub Actions 构建徽章、贡献指南、CLA 和 issue/discussion 入口，显示出一定维护和治理基础。仅凭给出的材料无法核实提交频率、依赖更新、发布持续性、问题响应或明确的安全响应渠道，因此扣分。
文档质量 13/20: README 覆盖安装方式、扫描示例、MCP 启动命令、规则、输出格式、支持范围和 GitHub Action 输入，信息量较充足。缺少实际 MCP 客户端配置、工具及参数的逐项说明、资源/性能限制、网络与指标行为、故障排查和可验证的 MCP 测试；Go 支持状态与 manifest 描述存在不一致，因此未接近满分。
安装易用性 11/20: 提供 Homebrew、pip、Docker、预构建二进制和源码路径，manifest 也给出固定 PyPI/OCI 包及 stdio transport，安装入口清晰。材料没有 Claude Code、Cursor 或其他主流客户端的完整连接配置示例，也未说明各平台运行时前置条件、Docker 的 MCP 配置方式及常见失败处理；自动下载规则和未说明的网络依赖增加了不确定性。

静态评测 · 未实际运行收录于 2026-08-14

查看 FMRS 评分方法 →

选型与风险

能访问什么读取本地文件访问网络

适合谁

需要本地代码结构分析和安全扫描的安全团队。
使用 Python、Dockerfile 或 Docker Compose 的项目。
希望让 Claude Code、Cursor 或 Cline 访问调用图和安全分析的开发团队。

不适合谁

需要已证实的 Go 稳定分析支持的项目；README 将 Go 标为即将支持。
只需要通用语言服务器功能、而不需要安全和代码结构分析的场景。
需要来源明确列出的 MCP 工具名称或客户端专属配置示例的集成场景。

所需权限

需要读取并索引指定项目根目录中的源代码和配置文件。
使用远程规则集时需要能够下载规则；README 说明规则会从 CDN 自动下载。
不需要 API 密钥或云账户，这是 README 的明确说明。

风险与副作用

分析结果受支持的语言、规则集和代码结构影响；README 只将 Python、Dockerfile 和 Docker Compose 标为稳定支持。
将项目源码提供给代码分析服务器会使其处理项目中的源代码和配置内容。
规则自动从 CDN 下载，规则获取过程依赖外部网络可用性。

安装接入

准备工作

运行环境：Python · 预编译二进制 · Docker

可通过 PyPI 安装 codepathfinder，或使用清单中的 Docker 镜像 docker.io/shivasurya/code-pathfinder:v2.1.1。以 stdio 模式启动：pathfinder serve --project .；--project 可指定要建立索引的项目根目录，默认是当前目录。README 还提供 Homebrew、预构建二进制和源码构建方式。规则会自动从 CDN 下载，README 声称不需要 API 密钥或云账户。

验证是否装好

运行 `pathfinder serve --project .` 后，在 Claude Code 或 Cursor 等客户端的 MCP 工具列表中确认出现调用图、数据流追踪和安全规则查询工具。

常见排障

确认已安装 codepathfinder，并使用 pathfinder serve --project . 启动 stdio 服务器。
确认 --project 指向正确的项目根目录，并且该目录可读取。
检查规则下载所需的网络连接；也可确认使用的规则集名称有效。
若分析范围不符合预期，确认目标语言是否处于 README 标注的稳定支持范围内。

试试这样问

连接成功后，可以直接对 AI 助手这样说：

查找所有调用 cursor.execute 的函数
追踪用户输入如何跨文件流入数据库查询
在我的项目上运行 PYTHON-DJANGO-SEC-001 规则
搜索调用 request.GET.get 的所有位置

使用场景

在 AI 辅助代码审查期间查询调用图、符号和数据流。

追踪跨文件的用户输入到 SQL 执行等安全敏感操作的路径。

运行 Python、Dockerfile 和 Docker Compose 安全规则。

为安全规则编写者提供自定义 Python 规则和数据流分析能力。

支持客户端

Claude Code部分支持

Cursor部分支持

Cline部分支持

依据项目文档列出，未经本站实测。

详细介绍

Code Pathfinder 是一个开源静态分析与安全扫描引擎，也可作为 MCP 服务器运行。它为 Python 项目构建抽象语法树、调用图和变量依赖图，并进行跨文件、跨函数的数据流与污点分析，支持调用方和被调用方查询、数据流追踪、结构搜索及安全规则扫描。清单描述还列出 Python/Go 的调用图、类型推断和符号搜索能力；README 将 Python、Dockerfile 和 Docker Compose 标为稳定支持，Go 标为即将支持。