# Bomly

Передаёт агенту граф зависимостей проекта, находит уязвимости и объясняет причины появления библиотек перед изменением кода.

- MCP-сервер · `type=mcp` · Claude Code, Codex, Cursor, GitHub Copilot, Windsurf (Devin Desktop), Cline, Zed, Gemini CLI · ★ 14
- Автор: bomly-dev
- Лицензия: Apache-2.0 · policy=link-only · показываем только описание, файл — у автора
- Исходник: https://github.com/bomly-dev/bomly-cli
- Обновлён: 2026-10-21
- HTML: https://affpapa.org/nevibecode/mcp/bomly

## Что делает

Bomly связывает манифесты пакетов, контейнерные образы и SBOM-файлы в единую карту зависимостей. Через протокол MCP ассистент вызывает команды сканирования `scan`, поиска причин включения пакета `explain` и сравнения веток `diff`. Встроенные детекторы разбирают структуры Go и npm прямо на рабочей машине.

Локальная работа без фонового сбора телеметрии обеспечивает приватность. Внешние сетевые запросы к базам уязвимостей и лицензий отправляются только при явном указании параметра `--enrich`. Без этого ключа утилита остаётся полностью офлайновой. Отчёты формируются в форматах JSON, SARIF, SPDX или CycloneDX.

## Требования
- Нужно: Node.js (команды через npx)

## Установка

### Claude Code (родная платформа)

**Командой платформы**
```bash
claude mcp add bomly-cli -- npx -y bomly-mcp
```

### Codex

**Командой платформы**
```bash
codex mcp add bomly -- npx -y bomly-mcp
```

### Cursor

**Файл настроек**
Файл `.cursor/mcp.json`:
```json
{
    "mcpServers": {
        "bomly": {
            "command": "npx",
            "args": [
                "-y",
                "bomly-mcp"
            ]
        }
    }
}
```

### GitHub Copilot

**Файл настроек**
Файл `.vscode/mcp.json`:
```json
{
    "servers": {
        "bomly": {
            "type": "stdio",
            "command": "npx",
            "args": [
                "-y",
                "bomly-mcp"
            ]
        }
    }
}
```

### Gemini CLI

**Командой платформы**
```bash
gemini mcp add bomly npx -y bomly-mcp
```

## Когда брать
- выяснить причину появления пакета в дереве зависимостей
- проверить проект на известные уязвимости перед коммитом
- сравнить изменения в зависимостях между ветками Git
- сгенерировать спецификацию SBOM в форматах CycloneDX или SPDX

## Примеры запросов агенту
- Объясни через Bomly, почему в проекте присутствует пакет lodash
- Просканируй зависимости и покажи новые уязвимости по сравнению с веткой main
- Сформируй граф зависимостей текущей директории с флагом `--enrich`

## Похожие
- [analyzing-sbom-for-supply-chain-vulnerabilities](https://affpapa.org/nevibecode/skills/analyzing-sbom-for-supply-chain-vulnerabilities.md) — скилл · 444 установки
- [agent-bom](https://affpapa.org/nevibecode/mcp/agent-bom.md) — MCP-сервер · ★ 35
- [EchelonGraph CVE & Exposure](https://affpapa.org/nevibecode/mcp/echelongraph-cve-exposure.md) — MCP-сервер · ★ 8
- [security-dependencies](https://affpapa.org/nevibecode/commands/security-dependencies.md) — команда · ★ 41823
- [agentic-security-scanner](https://affpapa.org/nevibecode/skills/agentic-security-scanner.md) — скилл · 462 установки
- [vulnerability-scanner](https://affpapa.org/nevibecode/skills/vulnerability-scanner.md) — скилл · 1300 установок

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md