reversinglabs/rl-mcp-community

Spectra Assure Community MCP服务器

ReversingLabs Spectra Assure Community MCP服务器使用Spectra Assure Community数据检查开源包中的***、漏洞、篡改及政策违规。它以Docker容器运行，可与任何MCP客户端（Gemini CLI、Claude Desktop、Claude Code、Cursor等）集成，在开发环境中直接进行按需安全分析。

目录

• Spectra Assure Community MCP服务器
  • 目录
  • 概述
    • 工具
      • rl_protect_scan
      • rl_protect_scan_manifest
      • rl_protect_summarize
      • rl_protect_interpret
      • rl_protect_diff_behavior
      • rl_protect_report
    • 示例
      • 示例1：检查特定包版本
      • 示例2：扫描清单文件
      • 示例3：比较包版本
    • 通过自定义提示调整工具使用
  • 安装与使用
    • 获取Docker镜像
    • 挂载项目目录
    • Gemini CLI示例配置
    • Claude Code示例配置
    • Claude Desktop示例配置
    • Ollama + Continue（Visual Studio Code）示例配置
  • 配置参考
    • 认证
    • 扫描选项
    • 网络

概述

工具

rl_protect_scan

扫描开源包的供应链风险。在添加、推荐或导入任何开源包前调用此工具。"REJECT"结果表示包违反了配置政策，不应使用。

参数：

• purls（字符串，必填）：逗号分隔的包PURL列表。版本可选，省略则扫描最新版本。
  示例：

  pkg:npm/react@19.1.5,pkg:pypi/requests@2.32.3
  pkg:npm/express
  

• report_name（字符串，必填）：报告的描述性名称（如"express-scan"、"deps-update"），自动附加随机后缀避免冲突。
• profile（字符串，可选）：扫描配置文件关键词（minimal、baseline、hardened）或自定义配置文件路径，默认值hardened。
• check_deps（字符串，可选）：逗号分隔的依赖范围，必须包含release或develop，可选值：release、develop、optional、transitive，默认仅release。

返回：
紧凑JSON摘要，使用rl_protect_summarize获取完整评估细节。

rl_protect_scan_manifest

扫描清单或锁文件（package.json、requirements.txt、pyproject.toml等）的供应链风险。文件需通过卷挂载到容器内。

参数：

• manifest_path（字符串，必填）：容器内的清单文件路径（如"/project/package.json"）。
• report_name（字符串，必填）：报告的描述性名称。
• profile（字符串，可选）：扫描配置文件关键词或路径，默认hardened。
• check_deps（字符串，可选）：依赖范围，同rl_protect_scan。

返回：
与rl_protect_scan相同的紧凑JSON结构。

rl_protect_summarize

总结报告中存在问题的包，返回"REJECT"或非通过结果包的完整评估细节（ secrets、许可证、漏洞、加固、篡改、***、仓库信息），通过包将被省略。

参数：

• report_id（字符串，必填）：rl_protect_scan返回的报告ID。

rl_protect_interpret

提取保存报告的特定部分为结构化JSON。

参数：

• report_id（字符串，必填）：报告ID。
• task（字符串，必填）：可选值：vulnerabilities、indicators、malware、overrides、governance、dependencies、errors。
• package（字符串，可选）：PURL子串，用于过滤特定包的结果。

rl_protect_diff_behavior

比较同一包两个版本的行为，检测可疑变化（评估退化、新***指标、新增CVE、政策违规）。

参数：

• package（字符串，必填）：要比较的包名（子串匹配）。
• report_id（字符串）：包含两个版本的报告ID（单次扫描）。
• old_report_id/new_report_id（字符串）：旧/新版本的单独报告ID。
• old_version/new_version（字符串，可选）：当存在多个版本时指定特定版本。
• reverse（布尔，可选）：交换新旧版本（降级时使用）。

rl_protect_report

从扫描报告生成结构化Markdown报告，包含摘要表、包评估细节、***和治理标注、漏洞表及优先版本更新计划。

参数：

• report_id（字符串，必填）：报告ID。
• template（字符串，可选）：报告模板，控制细节级别，默认expanded。

  模板	内容
  concise	摘要表（链接到Spectra Assure Community）+版本更新计划
  expanded	被拒绝包的评估、漏洞和许可证信息
  verbose	完整细节：被拒绝+警告+通过包、评估表、政策违规

• output_path（字符串，可选）：容器内/output目录下的Markdown文件路径（如"/output/report.md"），需挂载/output卷。省略时返回Markdown字符串。

返回：
文件路径（指定output_path时）或Markdown字符串（省略时）。

示例

示例1：检查特定包版本

提示：

检查@crowdstrike/commitlint版本8.1.2是否可安全使用

LLM调用rl_protect_scan，参数purls="pkg:npm/@crowdstrike/commitlint@8.1.2"，并根据工具描述展示结果。

示例2：扫描清单文件

提示：

扫描我的项目依赖项中的安全问题

容器需挂载项目目录（-v /path/to/project:/project:ro）。LLM调用rl_protect_scan_manifest，参数为清单文件路径（如"/project/package.json"），并可使用rl_protect_interpret深入分析特定发现。

示例3：比较包版本

提示：

我将express从4.21.0升级到5.1.0，是否有新风险？

LLM使用rl_protect_scan扫描两个版本，再调用rl_protect_diff_behavior并传入报告ID，比较版本间的评估变化、新增CVE和行为指标差异。

通过自定义提示调整工具使用

工具描述会影响LLM的使用方式。rl_protect_scan包含提示"在添加、推荐或导入任何开源包前调用此工具"，可通过MCP客户端的系统提示或自定义指令强化或调整此行为。

安装与使用

前提条件：

• https://www.docker.com/products/docker-desktop/
• ReversingLabs Spectra Assure账户（社区版或企业版）

获取Docker镜像

镜像托管在Docker Hub，首次运行时Docker会自动拉取。如需自行构建（如添加企业CA证书）：

sh
git clone https://github.com/reversinglabs/rl-mcp
docker build -t reversinglabs/rl-mcp-community:latest rl-mcp

挂载项目目录

容器默认无法访问主机文件系统，可选卷挂载扩展功能：

Gemini CLI示例配置

社区账户：

jsonc
{
  // ...其他设置
  "mcpServers": {
    "rl_mcp_server": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "RL_TOKEN=rlcmm-your-token-here",
        "-v", "/path/to/your/project:/project:ro",  // 可选：用于清单扫描
        "-v", "/path/to/your/reports:/output",       // 可选：用于报告输出
        "reversinglabs/rl-mcp-community:latest"
      ]
    }
  }
}

Claude Code示例配置

bash
claude mcp add --transport stdio rl-protect \
  -- docker run --rm -i \
  -e RL_TOKEN=rlcmm-your-token-here \
  -v /path/to/your/project:/project:ro \
  -v /path/to/your/reports:/output \
  reversinglabs/rl-mcp-community:latest

Claude Desktop示例配置

添加到配置文件（Windows：%APPDATA%\Claude\claude_desktop_config.json；macOS：~/Library/Application Support/Claude/claude_desktop_config.json）：

json
{
  "mcpServers": {
    "rl-protect": {
      "command": "docker",
      "args": [
        "run", "--rm", "-i",
        "-e", "RL_TOKEN=rlcmm-your-token-here",
        "-v", "/path/to/your/project:/project:ro",
        "-v", "/path/to/your/reports:/output",
        "reversinglabs/rl-mcp-community:latest"
      ]
    }
  }
}

Ollama + Continue（Visual Studio Code）示例配置

在Continue扩展中添加MCP服务器配置文件：

yaml
name: Spectra Assure Community MCP
version: 0.0.1
schema: v1
mcpServers:
  - name: Spectra Assure Community MCP
    command: docker
    args:
      - run
      - --rm
      - -i
      - -e
      - RL_TOKEN=rlcmm-your-token-here
      - -v
      - /path/to/your/project:/project:ro  # 可选：清单扫描
      - -v
      - /path/to/your/reports:/output      # 可选：报告输出
      - reversinglabs/rl-mcp-community:latest
    env: {}

配置参考

所有配置通过容器环境变量传递。

认证

扫描选项

网络