MCP 实现安全审查

原名：mcp-implementation-security-review

审查 MCP 服务实现中的认证、参数、工具权限、输出和审计风险。

中文 Skills 技能说明

用于 MCP 服务开发或接入上线前检查。重点验证最小权限、输入边界、命令执行、秘密管理和错误返回；只做已授权的防御性审查，不执行破坏性测试或提供攻击利用。

上游能力依据

上游原始适用说明：Review the implementation source code of MCP (Model Context Protocol) servers, clients, and tool handlers against a security baseline — authentication, sessions, rate limiting, input-schema validation, official-SDK usage, RCE vectors, and the OWASP MCP Top 10 — producing a report with file/line evidence. Use this skill when: - Reviewing an MCP server implementation for security before release - Checking a server against the baseline controls (MCP-01 to MCP-05) and the OWASP MCP Top 10 - Auditing tools for RCE vectors (command/code injection, unsafe deserialization, path traversal, SSTI, dependency hijacking, SSRF) - Verifying auth, session, rate-limiting, and input-validation controls on a network-exposed server - Reviewing MCP client code that handles untrusted server responses and session IDs - Requests like "review this MCP server for security" or "is my MCP server implementation secure?"

上游 SKILL.md 主要章节（保留原文标题）：

• Process
• Step 1 — Classify the target
• Step 2 — Filter false positives
• Step 3 — Check baseline controls
• Step 4 — Check RCE vectors
• Step 5 — Check OWASP MCP Top 10
• Step 6 — Report
• Reference
• Decision rules
• Transport classification

使用边界

先核对运行环境、账号、区域、依赖和最小权限。创建资源、改配置、发布服务或产生费用前必须让使用者确认。

作者、翻译与许可证

原作者

GitHub, Inc. 与 awesome-copilot contributors

中文翻译

CEOFans翻译

许可证

MIT

上游来源

https://github.com/github/awesome-copilot/tree/3f0bba475ec40b9680e1d0311b9caffeec5ad4c3/skills/mcp-implementation-security-review

适用范围

平台：linux、macos、windows；标签：MCP 与工具、MCP 实现安全审查

安全提示

基础静态扫描不等于绝对安全。技能可能调用命令、浏览器、云服务或本地文件，请在最小权限环境中使用，高风险操作必须人工确认。

如发现侵权、许可证或安全问题，可在本页前台提交投诉，管理员复核后可立即下架。