dsh-mcp-audit

admin-security 更新于 2026.10.16

在终端中运行以下命令：

dsh plugin install feely0208/dsh-mcp-audit

将以下提示词粘贴到 DeepSeek Harness 对话框中：

在 DeepSeek Harness 中执行 dsh plugin install feely0208/dsh-mcp-audit，或从开源仓库 https://github.com/feely0208/dsh-mcp-audit 安装该 MCP 配置审计插件。

插件介绍

给 Agent 接上 MCP 服务，往往等于把文件读写、工具执行和账号访问一并交出去；而 MCP 配置又常散落在本机、不进版本库、也很少有人专门审查。更棘手的是，像 npx -y 这类「每次启动拉最新版」的写法，一旦上游被投毒，你可能连可回滚的版本记录都没有。

dsh-mcp-audit 专注审 MCP 配置文件本身：它会标出未锁定的远端包、明文 http:// 端点，以及指向本地可执行文件或脚本的路径，并按高、中、低优先级归类，方便你先处理最危险的几项。它不做服务代码审计，也不替代依赖扫描——和 dsh-dep-audit 查 npm 依赖的分工不同，这里只盯 MCP 这一层配置风险。

适合在本地或团队里维护 Cursor、Claude Desktop 等 MCP 清单的开发者与安全同学，想在装服务之前先做一次配置体检的人。需要明确的是：锁定版本能防「上游悄悄改」，防不了「包本来就恶意」；本工具是辅助判断，使用后果需自行评估并遵守当地法规。