← 返回目录

Pare Security

社区

结构化安全扫描（Trivy）的 MCP 服务器，输出类型化 JSON。

查看安装方法 ↓ 横向对比 GitHub 源仓库 ↗

分类: 开发工具第 408 / 438
Stars: ★ 139 热门
传输方式: stdio（本地进程）
运行环境: Node.js >=20
凭据: 无需凭据
许可证: MIT
最近提交: 8 天前

31FMRS · D

该服务器是 Pare 项目的一部分，专注于安全扫描一致性。它提供结构化输出，旨在提高 AI 代理的效率和可靠性。由于缺少具体工具列表和客户端支持信息，用户应参考官方文档以获取详细配置。

最强项 · 安装易用性 9/20 最弱项 · 可靠性 4/20

可靠性

4/20

安全与权限

6/20

维护活跃度

8/20

文档质量

4/20

安装易用性

9/20

查看各项评分依据

可靠性 4/20: 仅提供了 manifest：声明 npm 包 @paretools/security、stdio 传输和版本 0.22.0。README 描述的是整个 monorepo，并声称使用 structuredContent/outputSchema，但没有提供 security 服务器的源码、测试、CI 工作流或工具 schema。缺少可验证的执行证据，无法确认服务器能正常完成初始化和工具列表握手，也无法确认声明与真实行为一致。因此按保守原则在 10 分锚点之下扣分。
安全与权限 6/20: 未发现红线问题：没有凭证窃取、隐蔽外传、默认不可逆删除/部署/远程命令或示例中的真实密钥。README 表格表明该服务器包装 Trivy 扫描，本质上偏只读。但未提供该服务器源码，命令构造、最小权限、外部网络行为及危险操作确认机制均无法验证，因此不能给予较高分数。
维护活跃度 8/20: 证据有限：manifest 显示版本 0.22.0，README 声明 MIT 许可证，仓库未归档。这些表明存在版本管理和许可证，但没有提交历史、发布节奏、issue 响应记录或安全响应渠道等可核实证据；README 中的 CI/覆盖率徽章属于 monorepo 层面且无法静态验证。因此只能给予中等偏上分数。
文档质量 4/20: README 提供了整个 Pare monorepo 的通用介绍、token 效率表、快速上手和故障排查，但没有任何专门针对 security 服务器的内容：没有工具列表、参数说明、输出 schema、限制、成本或 Trivy 配置示例。通用 JSON 客户端示例使用的是 pare-git 而非本服务器。该服务器自身的文档基本缺失，因此大幅扣分。
安装易用性 9/20: manifest 给出了明确的 npm 包标识 @paretools/security 和 stdio 传输，README 声明需要 Node.js >= 20，并提供了 npx 安装方式、预设、多客户端配置指南和故障排查表，安装路径基本清晰。但缺少针对 security 服务器的具体配置示例，也没有 CI/测试等执行证据验证该安装路径；Windows/npx 等问题仅做通用说明，因此未给到更高分。

静态评测 · 未实际运行收录于 2026-08-07

查看 FMRS 评分方法 →

选型与风险

能访问什么读取本地文件执行命令或代码访问网络

适合谁

AI 编码代理（如 Claude、Cursor 等）需要获取类型化安全扫描结果的场景。
需要减少令牌消耗、提高输出可靠性的开发环境。

不适合谁

不需要安全扫描功能的用户，或希望使用原始 CLI 输出的用户。
非 Node.js 环境或低于 20 版本的 Node.js 用户。

所需权限

需要执行 Trivy 命令的权限（该服务器不会自行执行扫描，需调用系统 Trivy 或通过配置指定）。
需要访问文件系统以读取扫描目标（如项目目录、镜像等）。

风险与副作用

依赖 Trivy 和 Node.js 环境的稳定性，若这些工具未正确安装或配置，可能导致扫描失败或输出不完整。
结构化输出可能遗漏 Trivy 的部分高级特性或自定义选项，导致信息不完整。

安装接入

准备工作

运行环境：Node.js >=20

其他可选配置项（1 个）

PARE_TOOLS 可选通用工具过滤器，格式为 server:tool 逗号分隔（如 git:status），限制所有 Pare 服务器注册的工具；无需从外部获取。

在 MCP 客户端配置中，添加以下服务器配置：

{
  "mcpServers": {
    "pare-security": {
      "command": "npx",
      "args": ["-y", "@paretools/security"]
    }
  }
}

确保系统已安装 Node.js 20 或更高版本。
重启 MCP 客户端会话。

验证是否装好

在客户端的工具列表中确认出现 Pare Security（@paretools/security，v0.22.0）注册的工具；或运行 npx @paretools/init doctor 验证配置，然后向代理询问“扫描本项目漏洞”看是否能返回结构化 JSON 结果。

常见排障

确保 Trivy 已安装并可在 PATH 中访问。
检查 Node.js 版本是否 >=20。
查看 MCP 客户端日志，确认服务器是否成功启动。
尝试在命令行中直接运行 `npx -y @paretools/security` 以验证安装。

试试这样问

连接成功后，可以直接对 AI 助手这样说：

扫描当前项目的依赖漏洞，并按严重程度列出
用 Trivy 扫描这个代码库，以 JSON 形式给出所有发现的 CVE
检查项目里是否有高危漏洞的 npm 依赖
对仓库做一次安全扫描并总结最需要修复的问题

使用场景

当 AI 代理需要执行安全扫描并直接处理结构化结果时，例如在 CI/CD 管道中或作为开发工作流的一部分。

当需要将 Trivy 的扫描结果与其他自动化工具或分析系统集成时。

详细介绍

Pare Security 是 Pare 项目中的一款 MCP 服务器，用于封装 Trivy 安全扫描工具，并将其输出转换为结构化的、经过模式验证的 JSON 数据。它旨在为 AI 代理提供直接可用的类型化数据，避免解析脆弱的终端文本。该服务器运行在 stdio 传输上，通过 npm 包 @paretools/security 分发。