dvalincode — MCP-сервер для Claude Code: проверка исправлений
Сканер уязвимостей, который проверяет исправления независимо от агента и выдаёт офлайн-верифицируемый протокол в JSON.
claude mcp add dvalincode -- npx -y dvalincodeЧто делает dvalincode
Dvalincode сканирует код на инъекции, XSS, захардкоженные секреты, небезопасный eval и вызовы шелла. Когда агент или человек правит находку, сервер запускает повторное сканирование сам, прогоняет тесты проекта и читает коды возврата процессов. Кто именно делал правку — Claude Code, Codex, Copilot, человек — записывается в отчёт, но не участвует в принятии решения.
Результат — файл dvalin-fix-record/v3 с полями: сколько находок до и после, какие проверки прошли, что появилось нового. Его можно проверить на любом компьютере без сети командой dvalin verify-fix fix-record.json. Сервер умеет работать со встроенными правилами (без API-ключей) и подключать Semgrep, Snyk Code, Snyk OSS — те же движки, что стоят в CI-гейте.
Полная проверка требует git-репозитория: при оценке правки сервер откатывает файлы игнорирования (.snyk, .semgrepignore) к состоянию базового коммита и стирает свежие маркеры подавления в коде. Если находку не исправили, а просто скрыли новым игнором — запись получит статус regressed и верификацию не пройдёт.
Какие задачи решает
- проверить, что исправление агента действительно убрало уязвимость
- запустить те же сканеры, что блокируют мердж в CI
- поймать подмену: правка добавила игнор вместо реального фикса
- получить протокол проверки, который можно перепроверить офлайн без Dvalin
Примеры запросов агенту
- Просканируй проект на уязвимости встроенными правилами и Snyk Code
- Проверь, прошло ли моё исправление для находок из последнего скана
- Запусти цикл фикса до чистого результата, используй Semgrep и встроенные правила
Как установить dvalincode
Командой платформы
claude mcp add dvalincode -- npx -y dvalincodeКомандой платформы
codex mcp add dvalincode -- npx -y dvalincodeФайл настроек
{
"mcpServers": {
"dvalincode": {
"command": "npx",
"args": [
"-y",
"dvalincode"
]
}
}
}Файл настроек
{
"servers": {
"dvalincode": {
"type": "stdio",
"command": "npx",
"args": [
"-y",
"dvalincode"
]
}
}
}Командой платформы
gemini mcp add dvalincode npx -y dvalincodeПо шагам, с командами для каждой платформы: Как подключить MCP-сервер: Claude Code, Codex, Cursor, VS Code, Gemini CLI и другие
Вопросы о dvalincode
Как установить dvalincode в Claude Code?
Выполни claude mcp add dvalincode -- npx -y dvalincode. Для Codex команда та же, только codex mcp add. Для Cursor и GitHub Copilot добавь JSON-конфиг с полями command: npx и args: ["-y", "dvalincode"].
Что делает dvalincode?
Сканирует код на уязвимости, проверяет исправления независимо от того, кто их сделал, и выдаёт JSON-протокол с результатами повторного сканирования и прогона тестов. Протокол можно проверить офлайн без API.
Зачем нужен git-репозиторий для полной проверки?
Чтобы обнаружить подмену: сервер откатывает игнор-файлы к базовому коммиту и стирает новые маркеры подавления, так что скрытая находка не засчитывается как исправленная. Без репозитория проверка упрощённая, формат записи v2.
