MCP 配置安全审计

原名：mcp-security-audit

检查 MCP 配置中的明文密钥、命令注入、未固定依赖和过宽权限。

中文 Skills 技能说明

适合审查 .mcp.json 等配置文件。默认只读并输出可定位证据，推荐使用环境变量、固定版本和允许清单；不会自动连接未知服务，也不提供未授权攻击或绕过方法。

上游能力依据

上游原始适用说明：Audit MCP (Model Context Protocol) server configurations for security issues. Use this skill when: - Reviewing .mcp.json files for security risks - Checking MCP server args for hardcoded secrets or shell injection patterns - Validating that MCP servers use pinned versions (not @latest) - Detecting unpinned dependencies in MCP server configurations - Auditing which MCP servers a project registers and whether they're on an approved list - Checking for environment variable usage vs. hardcoded credentials in MCP configs - Any request like "is my MCP config secure?", "audit my MCP servers", or "check .mcp.json" keywords: [mcp, security, audit, secrets, shell-injection, supply-chain, governance]

上游 SKILL.md 主要章节（保留原文标题）：

• Overview
• When to Use
• Audit Check 1: Hardcoded Secrets
• Audit Check 2: Shell Injection Patterns
• Audit Check 3: Unpinned Dependencies
• Audit Check 4: Full Audit Runner
• Output Format
• Related Resources

使用边界

先核对运行环境、账号、区域、依赖和最小权限。创建资源、改配置、发布服务或产生费用前必须让使用者确认。

作者、翻译与许可证

原作者

GitHub, Inc. 与 awesome-copilot contributors

中文翻译

CEOFans翻译

许可证

MIT

上游来源

https://github.com/github/awesome-copilot/tree/3f0bba475ec40b9680e1d0311b9caffeec5ad4c3/skills/mcp-security-audit

适用范围

平台：linux、macos、windows；标签：MCP 与工具、MCP 配置安全审计

安全提示

基础静态扫描不等于绝对安全。技能可能调用命令、浏览器、云服务或本地文件，请在最小权限环境中使用，高风险操作必须人工确认。

如发现侵权、许可证或安全问题，可在本页前台提交投诉，管理员复核后可立即下架。