适合谁
- 从事 JavaScript 安全分析、逆向工程的研究人员
- 需要浏览器自动化和网络调试的开发者
- 希望结合 AI 智能体进行动态代码分析的团队
- 需要渐进式工具配置以优化上下文消耗的 MCP 用户
J
JSHookMCP
社区
一个为 JavaScript 分析和安全研究提供 600+ 工具、覆盖 34 个领域的 AI 智能体驱动的 MCP 服务器，集浏览器自动化、CDP 调试、网络拦截、JS 挂钩、代码分析和工作流编排于一体。
GitHub 源仓库 ↗
44FMRS · D
jshookmcp 是一个功能强大但专业性极强的 MCP 服务器，专为 JavaScript 安全和逆向工程领域设计。它提供了丰富的工具集和灵活的配置，但使用门槛较高，需要用户具备相关的技术背景。尽管包含敏感功能，但项目声明为 AGPL-3.0 许可，且社区活跃，总体评价为专业且有效。
jshookmcp 是一个 MCP 服务器，为 AI 智能体提供超过 600 个内置工具，覆盖 34 个领域，用于 JavaScript 分析和安全研究。它集成浏览器自动化、CDP 调试、网络拦截、JS 挂钩、LLM 驱动的代码分析、进程/内存取证、WASM 逆向工程、源码映射重建、AST 转换和复合工作流。采用渐进式工具配置（search → workflow → full），实现上下文效率优化。支持 Node.js 22.12+ 和 TypeScript 严格模式。
工具能力
search_tools
根据关键词查找可用工具，支持 BM25 和向量搜索混合排序。
describe_tool
获取指定工具的详细说明和参数信息。
call_tool
以验证后的参数调用指定工具。
coverage_report
生成工具覆盖报告，展示已注册工具的使用情况。
proxy_start
启动本地代理，自动生成 HTTPS 拦截证书，支持网络流量捕获和中间人分析。
安装接入
- 确保 Node.js 22.12+ 和 npm 已安装。\n2. 在 MCP 客户端（如 Claude Desktop 或 Cursor）的配置文件中添加上述 install_config 所示的服务配置。\n3. 保存配置并重启客户端，即可使用。\n4. 如需完整功能，移除
npm_config_omit并重新启动。
claude_desktop_config.json
{
"mcpServers": {
"jshook": {
"command": "npx",
"args": [
"-y",
"@jshookmcp/jshook@latest"
],
"env": {
"MCP_TOOL_PROFILE": "search",
"npm_config_omit": "optional"
}
}
}
}
选型与风险
不适合谁
- 仅需简单 API 调用的普通应用
- 对反向工程和浏览器自动化不感兴趣的用户
- 需要轻量级服务器且不希望额外依赖的用户（可选择 search 配置降低资源占用）
所需权限
- 需要访问浏览器的调试接口（CDP）
- 启动本地 HTTP 服务器绑定 127.0.0.1
- 生成并管理本地 HTTPS 证书用于流量拦截
- 可能下载并运行可选的依赖包（如 ONNX、Z3 等）
风险与副作用
- 涉及反检测和 CAPTCHA 处理，可能违反第三方网站的服务条款
- 网络拦截功能可能被滥用，需确保合法合规使用
- 运行大量工具可能消耗较多系统资源，需注意性能
- 自定义 HTTP 端点若公开，可能被未经授权访问，需设置 MCP_AUTH_TOKEN
常见排障
- 如果 npx 命令找不到，确保 Node.js 22.12+ 已安装，并检查 PATH 环境变量（Windows 可能需要使用 npx.cmd 的绝对路径）。
- 如果未安装可选依赖（如 Playwright），某些浏览器相关功能可能不可用，可移除 `npm_config_omit` 重新安装。
- 如果遇到 CERTIFICATE 错误，检查代理生成的 CA 证书是否被信任。
- 如果连接失败，检查 MCP 客户端配置中的命令和参数是否正确。
使用场景
JavaScript 代码反混淆和加密算法识别
浏览器自动化测试，包括反检测和 CAPTCHA 处理
网络请求拦截、HTTP/2 帧分析、GraphQL 调试
WebAssembly 逆向工程和二进制分析
进程内存取证和本地安全分析
支持客户端
Claude Desktop完整支持
Cursor完整支持