JSHookMCP

社区

一个为 JavaScript 分析和安全研究提供 600+ 工具、覆盖 34 个领域的 AI 智能体驱动的 MCP 服务器，集浏览器自动化、CDP 调试、网络拦截、JS 挂钩、代码分析和工作流编排于一体。

分类: 开发工具第 315 / 438
Stars: ★ 2.0k 非常热门
传输方式: stdio（本地进程） · Streamable HTTP
运行环境: Node.js 22.12+
凭据: 无需凭据
许可证: AGPL-3.0
最近提交: 2 天前
工具数: 5

44FMRS · D

jshookmcp 是一个功能强大但专业性极强的 MCP 服务器，专为 JavaScript 安全和逆向工程领域设计。它提供了丰富的工具集和灵活的配置，但使用门槛较高，需要用户具备相关的技术背景。尽管包含敏感功能，但项目声明为 AGPL-3.0 许可，且社区活跃，总体评价为专业且有效。

最强项 · 安装易用性 12/20 最弱项 · 可靠性 5/20

可靠性

5/20

安全与权限

5/20

维护活跃度

10/20

文档质量

12/20

安装易用性

12/20

查看各项评分依据

可靠性 5/20: 清单文件内部一致（schema、名称、0.3.5 版本、npm 包 @jshookmcp/jshook、仓库与主页相互对应），README 描述的 stdio 与 HTTP daemon 两种 MCP 形态也合理。但本次评审仅收到 README 与清单，没有源码、工具定义、测试或 CI 工作流文件，因此无法证实 668 个已声明工具真实存在，也无法验证初始化及工具列表握手可用。错误处理与边界情况同样没有记录。因缺少任何可核验的执行证据而扣分；README 中“checked in CI”的说法无法验证，不确定性只能降低分数。
安全与权限 5/20: 安装示例中不含真实令牌或密钥，唯一的 MCP_AUTH_TOKEN 只是变量名而非值；daemon 默认回环绑定、按客户端隔离会话，属于数据边界方面的正面信号。但该服务器本质上是双用途安全分析套件（MITM 代理、进程/内存扫描、syscall 挂钩、浏览器插桩、exploit-dev 域），而提供材料未展示最小权限默认值、危险操作的确认门槛、凭据处理策略或数据流向披露；声称的 destructiveHint 注解不可核验。因权限/确认/范围证据缺失而大幅扣分。材料本身未呈现明确的红线违规——无恶意代码、无凭据窃取、无隐蔽外传、无跨删除/支付/部署的默认远程指令，安装示例中也没有真实密钥。
维护活跃度 10/20: 正面信号：仓库未归档、采用 AGPL-3.0 许可证、语义化版本 0.3.5、声称由 CI 校验的注册表快照、近期运行时说明、提供了文档站点。扣分原因：材料中没有提交记录、发布日期、依赖更新证据、issue 响应时效证据、安全响应渠道或贡献治理文档，维护节奏无法核实。星标数仅作发现信号，不参与计分。
文档质量 12/20: README 分层较好：包含可复制的客户端配置示例（Claude Desktop/Cursor）、Windows npx.cmd 提示、环境变量说明（MCP_TOOL_PROFILE、npm_config_omit、SEARCH_VECTOR_ENABLED、MCP_AUTH_TOKEN）、daemon 安装与使用、架构说明、自动生成的工具/域清单，并提供中文版以及文档、快速开始、配置、工具参考链接。扣分：所有工具参数均位于本次评审未提供的外部链接背后；没有故障排查章节；虽有 LLM 增强功能却未披露成本与使用限制；缺少运行时错误语义说明。
安装易用性 12/20: 安装步骤具体且少：提供主流客户端可复制的 npx 配置片段、通过环境变量跳过重型可选原生依赖（ONNX/Z3/Binaryen/Camoufox/Playwright）的默认做法、Windows 平台替代路径，以及面向 URL 客户端的 HTTP daemon 备选方案并附回环绑定与鉴权提示；Node 22.12+ 要求明确。扣分：所给材料中没有真实 CI 工作流或已提交测试可证明安装路径可用，因此评分必须远低于 15 分的静态上限；可选原生依赖在部分平台上安装可能脆弱，且 @latest 固定方式缺乏可复现性。

静态评测 · 未实际运行收录于 2026-08-07

查看 FMRS 评分方法 →

选型与风险

能访问什么读取本地文件写入 / 删除本地文件执行命令或代码访问网络控制浏览器

适合谁

从事 JavaScript 安全分析、逆向工程的研究人员
需要浏览器自动化和网络调试的开发者
希望结合 AI 智能体进行动态代码分析的团队
需要渐进式工具配置以优化上下文消耗的 MCP 用户

不适合谁

仅需简单 API 调用的普通应用
对反向工程和浏览器自动化不感兴趣的用户
需要轻量级服务器且不希望额外依赖的用户（可选择 search 配置降低资源占用）

所需权限

需要访问浏览器的调试接口（CDP）
启动本地 HTTP 服务器绑定 127.0.0.1
生成并管理本地 HTTPS 证书用于流量拦截
可能下载并运行可选的依赖包（如 ONNX、Z3 等）

风险与副作用

涉及反检测和 CAPTCHA 处理，可能违反第三方网站的服务条款
网络拦截功能可能被滥用，需确保合法合规使用
运行大量工具可能消耗较多系统资源，需注意性能
自定义 HTTP 端点若公开，可能被未经授权访问，需设置 MCP_AUTH_TOKEN

安装接入

准备工作

运行环境：Node.js 22.12+

MCP_AUTH_TOKEN 可选密钥将 HTTP 端点暴露到 localhost 之外时需要设置的身份验证令牌；仅本机使用时无需配置。

其他可选配置项（2 个）

MCP_TOOL_PROFILE 可选控制加载的工具配置档（如 search/workflow/full），文档默认为 search 以减少 token 消耗。

SEARCH_VECTOR_ENABLED 可选设为 false 时仅使用词法（BM25）搜索；HTTP 守护进程默认懒加载启用向量搜索。

确保 Node.js 22.12+ 和 npm 已安装。\n2. 在 MCP 客户端（如 Claude Desktop 或 Cursor）的配置文件中添加上述 install_config 所示的服务配置。\n3. 保存配置并重启客户端，即可使用。\n4. 如需完整功能，移除 npm_config_omit 并重新启动。

claude_desktop_config.json

{
  "mcpServers": {
    "jshook": {
      "command": "npx",
      "args": [
        "-y",
        "@jshookmcp/jshook@latest"
      ],
      "env": {
        "MCP_TOOL_PROFILE": "search",
        "npm_config_omit": "optional"
      }
    }
  }
}

以 Claude Desktop 为例。其他客户端的配置文件位置或字段可能不同（如 VS Code 使用 servers 字段），可用下方配置生成器转换。

.vscode/mcp.json

{
  "servers": {
    "jshook": {
      "command": "npx",
      "args": [
        "-y",
        "@jshookmcp/jshook@latest"
      ],
      "env": {
        "MCP_TOOL_PROFILE": "search",
        "npm_config_omit": "optional"
      }
    }
  }
}

写入项目的 .vscode/mcp.json（VS Code 使用 servers 字段）。

Terminal

claude mcp add jshook -e MCP_TOOL_PROFILE=search -e npm_config_omit=optional -- npx -y @jshookmcp/jshook@latest

在终端运行；先把 <…> 占位符换成你自己的值。

生成并校验客户端配置

验证是否装好

安装后在 MCP 客户端的工具列表中应能看到 search_tools、describe_tool、call_tool、coverage_report 等工具；或直接询问“列出可用的 JS 分析工具”，若 search_tools 正常返回结果即说明连接成功。

常见排障

如果 npx 命令找不到，确保 Node.js 22.12+ 已安装，并检查 PATH 环境变量（Windows 可能需要使用 npx.cmd 的绝对路径）。
如果未安装可选依赖（如 Playwright），某些浏览器相关功能可能不可用，可移除 `npm_config_omit` 重新安装。
如果遇到 CERTIFICATE 错误，检查代理生成的 CA 证书是否被信任。
如果连接失败，检查 MCP 客户端配置中的命令和参数是否正确。

试试这样问

连接成功后，可以直接对 AI 助手这样说：

搜索一下有哪些工具可以拦截浏览器的网络请求
用 describe_tool 查看浏览器自动化工具的参数说明
启动一个本地代理来抓包 HTTPS 流量
生成一份当前可用工具的 coverage_report

工具能力 5

search_tools 只读

根据关键词查找可用工具，支持 BM25 和向量搜索混合排序。

describe_tool 只读

获取指定工具的详细说明和参数信息。

call_tool 写入

以验证后的参数调用指定工具。

coverage_report 只读

生成工具覆盖报告，展示已注册工具的使用情况。

proxy_start 写入

启动本地代理，自动生成 HTTPS 拦截证书，支持网络流量捕获和中间人分析。

使用场景

JavaScript 代码反混淆和加密算法识别

浏览器自动化测试，包括反检测和 CAPTCHA 处理

网络请求拦截、HTTP/2 帧分析、GraphQL 调试

WebAssembly 逆向工程和二进制分析

进程内存取证和本地安全分析

支持客户端

Claude Desktop

Cursor

依据项目文档列出，未经本站实测。

详细介绍

jshookmcp 是一个 MCP 服务器，为 AI 智能体提供超过 600 个内置工具，覆盖 34 个领域，用于 JavaScript 分析和安全研究。它集成浏览器自动化、CDP 调试、网络拦截、JS 挂钩、LLM 驱动的代码分析、进程/内存取证、WASM 逆向工程、源码映射重建、AST 转换和复合工作流。采用渐进式工具配置（search → workflow → full），实现上下文效率优化。支持 Node.js 22.12+ 和 TypeScript 严格模式。