Bomly — MCP-сервер для Claude Code: что делает и как установить
Передаёт агенту граф зависимостей проекта, находит уязвимости и объясняет причины появления библиотек перед изменением кода.
claude mcp add bomly-cli -- npx -y bomly-mcpЧто делает Bomly
Bomly связывает манифесты пакетов, контейнерные образы и SBOM-файлы в единую карту зависимостей. Через протокол MCP ассистент вызывает команды сканирования scan, поиска причин включения пакета explain и сравнения веток diff. Встроенные детекторы разбирают структуры Go и npm прямо на рабочей машине.
Локальная работа без фонового сбора телеметрии обеспечивает приватность. Внешние сетевые запросы к базам уязвимостей и лицензий отправляются только при явном указании параметра --enrich. Без этого ключа утилита остаётся полностью офлайновой. Отчёты формируются в форматах JSON, SARIF, SPDX или CycloneDX.
Какие задачи решает
- выяснить причину появления пакета в дереве зависимостей
- проверить проект на известные уязвимости перед коммитом
- сравнить изменения в зависимостях между ветками Git
- сгенерировать спецификацию SBOM в форматах CycloneDX или SPDX
Примеры запросов агенту
- Объясни через Bomly, почему в проекте присутствует пакет lodash
- Просканируй зависимости и покажи новые уязвимости по сравнению с веткой main
- Сформируй граф зависимостей текущей директории с флагом
--enrich
Как установить Bomly
Командой платформы
claude mcp add bomly-cli -- npx -y bomly-mcpКомандой платформы
codex mcp add bomly -- npx -y bomly-mcpФайл настроек
{
"mcpServers": {
"bomly": {
"command": "npx",
"args": [
"-y",
"bomly-mcp"
]
}
}
}Файл настроек
{
"servers": {
"bomly": {
"type": "stdio",
"command": "npx",
"args": [
"-y",
"bomly-mcp"
]
}
}
}Командой платформы
gemini mcp add bomly npx -y bomly-mcpПо шагам, с командами для каждой платформы: Как подключить MCP-сервер: Claude Code, Codex, Cursor, VS Code, Gemini CLI и другие
Вопросы о Bomly
Как установить Bomly в Claude Code?
Добавьте сервер командой claude mcp add bomly -- npx -y bomly-mcp.
Что делает MCP-сервер Bomly?
Он даёт агенту доступ к анализу графа зависимостей, аудиту безопасности и поиску связей между пакетами.
Отправляет ли Bomly исходный код на сторонние серверы?
Сканирование выполняется локально без передачи телеметрии или создания учётной записи. Сетевые запросы к базам данных уязвимостей происходят только при передаче флага --enrich.
