← 返回目录

NPM Sentinel MCP Server

社区

基于 AI 的 NPM 包分析 MCP 服务器

查看安装方法 ↓ 横向对比 GitHub 源仓库 ↗

分类: 开发工具第 2 / 438
Stars: ★ 18 热门
传输方式: stdio（本地进程） · Streamable HTTP
运行环境: Node.js · Docker
凭据: 无需凭据
许可证: MIT
最近提交: 59 天前
工具数: 19

79FMRS · B

一个功能全面的 NPM 包分析 MCP 服务器，提供 19 个工具覆盖安全、依赖、质量与趋势分析，具有 OWASP LLM01 防御、双重输出协议与双时代协议兼容性，适合重视供应链安全的开发团队。

最强项 · 文档质量 18/20 最弱项 · 可靠性 12/20

可靠性

12/20

安全与权限

16/20

维护活跃度

18/20

文档质量

18/20

安装易用性

15/20

查看各项评分依据

可靠性 12/20: 项目展示了良好的架构设计，包含完整的MCP v2实现和双协议兼容性。从源码看，它使用了TypeScript并定义了完整的输入输出模式。然而，静态分析无法验证实际运行时表现，没有看到完整的测试套件覆盖关键路径，因此评分保守。
安全与权限 16/20: 项目实施了多层安全防护，包括输入验证、批处理限制、原型污染保护和间接提示注入防御。它对外部内容进行了XML标记和元数据标记，并实现了OWASP LLM01合规性。没有发现明显的安全漏洞或过度权限请求。
维护活跃度 18/20: 项目显示出活跃的维护状态，有定期的发布、清晰的版本控制和完整的CI/CD流程。依赖项得到更新，许可证明确，且项目有明确的维护者。GitHub上有持续集成工作流和Docker支持。
文档质量 18/20: 文档非常全面，包括详细的安装指南、配置选项、工具说明和使用示例。文档清晰说明了安全措施、性能考虑和限制条件。提供了针对不同平台（VS Code、Claude Desktop、Docker等）的配置示例。
安装易用性 15/20: 安装过程简单直接，支持多种部署方式（STDIO、HTTP、Docker）。项目提供了针对不同客户端的明确配置说明，并通过npx实现一键安装。然而，某些高级配置可能需要额外的技术知识。

静态评测 · 未实际运行收录于 2026-09-07

查看 FMRS 评分方法 →

选型与风险

能访问什么访问网络

适合谁

需要在 AI 工作流中审查 NPM 依赖的开发者
进行供应链安全评估的团队
使用 Claude Desktop、Cursor 或 VS Code 的用户

不适合谁

不使用 NPM 生态（如纯 Python/Go）的项目
无法访问外部网络（deps.dev、OSV.dev、npm 注册表）的环境
需要官方上游厂商维护保证的场景

所需权限

访问 NPM 注册表及 deps.dev、OSV.dev、OpenSSF、npms.io、GitHub 等外部服务的网络权限
读取工作区 lockfile（pnpm-lock.yaml、package-lock.、yarn.lock）以实现缓存失效

风险与副作用

返回的第三方 README 与 changelog 为不可信外部内容，虽然已用标签包裹并附加 _meta 标记，仍需谨慎处理
依赖外部服务的可用性与数据准确性
批量请求上限为 25 个包以防枚举滥用，超出需分批
第三方开源项目，非 NPM 或 Anthropic 官方维护

安装接入

准备工作

运行环境：Node.js · Docker

其他可选配置项（1 个）

NPM_REGISTRY_URL 可选可选，用于自定义 NPM 仓库地址（默认为 https://registry.npmjs.org），无需单独获取凭据。

通过 npx 运行：在 Claude Desktop 或 VS Code/Cursor 的 MCP 配置中添加服务器条目，命令为 npx -y @nekzus/mcp-server@latest。也可通过 Docker 运行，或部署 @nekzus/mcp-server/http 处理器到 Cloudflare Workers、Hono、Express 等平台，或使用 Smithery.ai 托管 URL。可通过环境变量 NPM_REGISTRY_URL 自定义注册表地址。

claude_desktop_config.json

{"mcpServers":{"npm-sentinel":{"command":"npx","args":["-y","@nekzus/mcp-server@latest"]}}}

以 Claude Desktop 为例。其他客户端的配置文件位置或字段可能不同（如 VS Code 使用 servers 字段），可用下方配置生成器转换。

.vscode/mcp.json

{
  "servers": {
    "npm-sentinel": {
      "command": "npx",
      "args": [
        "-y",
        "@nekzus/mcp-server@latest"
      ]
    }
  }
}

写入项目的 .vscode/mcp.json（VS Code 使用 servers 字段）。

Terminal

claude mcp add npm-sentinel -- npx -y @nekzus/mcp-server@latest

在终端运行；先把 <…> 占位符换成你自己的值。

生成并校验客户端配置

验证是否装好

在客户端中添加该服务器后，检查工具列表中是否出现 npmLatest、npmVersions、npmSearch 等工具，然后运行 npmLatest 查询一个常见包（如 react）来确认连接正常。

常见排障

确认 npx 命令在终端可直接运行且 Node 环境正常
检查 NPM_REGISTRY_URL 环境变量配置是否正确
遇到缓存过期数据时使用 ignoreCache: true 强制刷新
修改 lockfile 后缓存应自动失效，否则可手动绕过
STDIO 连接失败时检查客户端配置 JSON 格式

试试这样问

连接成功后，可以直接对 AI 助手这样说：

查询 react 的最新版本信息、发布日期和 dist-tags（npmLatest）
扫描 express 的依赖树并列出所有传递依赖中的已知漏洞（npmDeps、npmVulnerabilities）
对比 lodash 和 ramza 的下载趋势、包体积和质量评分（npmCompare）
搜索关键词为 rate limit 的 NPM 包并给出前几个结果（npmSearch）

工具能力 19

npmLatest 只读

获取最新版本信息、发布日期、SRI 完整性哈希与 dist-tags。

npmVersions 只读

获取包含发布日期与弃用状态的完整版本历史。

npmDeps 只读

通过 deps.dev 进行完整的依赖树与传递依赖分析。

npmTypes 只读

检查 TypeScript 支持（原生类型声明或 @types 包）。

npmSize 只读

分析包的打包体积、压缩体积与 gzip 影响。

npmVulnerabilities 只读

基于 deps.dev 与 OSV.dev 的传递性漏洞扫描。

npmTrends 只读

按周/月/年时间范围查询历史下载统计。

npmCompare 只读

对多个包进行指标并排比较。

展开其余 11 个工具

npmMaintainers 只读

列出包的维护者、公开邮箱与发布活动。

npmScore 只读

综合质量、流行度、维护度与 OpenSSF Scorecard 的评分。

npmPackageReadme 只读

从 NPM 注册表获取完整的原始 README 内容。

npmSearch 只读

按关键词搜索 NPM 包并返回丰富元数据。

npmLicenseCompatibility 只读

分析多个包之间的许可证兼容性。

npmRepoStats 只读

获取 GitHub 仓库统计（星标、fork、问题）与 OpenSSF Scorecard 检查。

npmDeprecated 只读

检测包及其递归子依赖的弃用状态。

npmChangelogAnalysis 只读

提取发布说明与 GitHub 发布历史。

npmAlternatives 只读

智能推荐功能替代包并过滤生态系统插件。

npmQuality 只读

包的代码质量评分（0–1）。

npmMaintenance 只读

包的维护活跃度评分（0–1）。

使用场景

安装前评估 NPM 包的安全性与漏洞

分析依赖树与传递依赖

比较多个候选包的质量与维护状况

追踪包的下载趋势与 bundle 体积

寻找某个包的功能替代品

支持客户端

Claude Desktop

VS Code

Cursor

依据项目文档列出，未经本站实测。

详细介绍

NPM Sentinel MCP 是一个基于 MCP 协议的服务器，提供递归安全扫描、依赖树分析、下载趋势、质量评分与替代包推荐等 19 个工具。它利用 Google deps.dev、OSV.dev、OpenSSF Scorecard 与 npms.io 数据，支持 STDIO 与 Streamable HTTP 双传输，并内置针对间接提示注入（OWASP LLM01）的防御机制与自动缓存失效。