mcp-cap

接入一个 MCP server 本质上是一次运行时信任决策：没有静态清单、没有 schema 文件，工具列表只有在进程启动后才暴露。npx 每次拉取最新版本，上月审过的能力面与今天跑的可能完全不同；多数客户端在默认情况下把整个环境变量交给一个你没有逐行读过的程序；而工具真正的危险往往藏在描述文本和 JSON Schema 里——恰恰是没有人做 diff review 的两个字段。mcp-cap 就是为堵住这个缝隙而生。

它以只读模式启动 server，仅调用 initialize、tools/list、resources/list、prompts/list 四个协议方法，永远不会执行任何 tool。随后把声明的能力面、schema 注解、推断风险等级及对应证据写成一份可入库的 lock 文件。之后 verify 重新检查并与 seal 做差异比对，用退出码明确区分「未变更」「能力面变了」「新增了危险能力」以及「检查未完成」，后两者绝不伪装成通过。默认只向 server 暴露 PATH、HOME 和临时目录，环境变量值既不打印也不落盘，从机制上消除凭据泄漏。

适合将第三方 MCP server 接入 agent 流水线的开发者和安全团队：你需要一份可提交、可在 Pull Request 中审查的能力审批记录，并且希望快速、确定地回答一个问题——自上次批准以来，这个 server 是否获得了它不该有的能力？