# NPMScan

Подключает к агенту поиск по реестру npm и проверку уязвимостей через OSV.dev и GitHub. Пригодится, когда нужно понять, безопасно ли ставить пакет.

- MCP-сервер · `type=mcp` · Claude Code, Codex, Cursor, GitHub Copilot, Windsurf (Devin Desktop), Cline, Zed · ★ 171
- Автор: salemalem
- Лицензия: MIT · policy=link-only · показываем только описание, файл — у автора
- Исходник: https://github.com/salemalem/npmscan-mcp-plugin
- Обновлён: 2026-10-24
- HTML: https://affpapa.org/nevibecode/mcp/npmscan

## Что делает

NPMScan — публичный MCP-сервер на `https://npmscan.com/api/mcp` с двадцатью тремя инструментами. Агент ищет пакеты в реестре npm, смотрит метаданные конкретной версии, историю мейнтейнеров, скрипты установки и находки по уязвимостям. Каждый результат содержит `npmscanUrl` со ссылкой на полный разбор на сайте.

Ключ API не нужен, авторизации нет. Сервер не хранит состояние между запросами, а частота обращений ограничена тридцатью в минуту на IP — при массовом аудите монорепозитория этот лимит упрётся первым. У каждой находки есть флаг `isMalware`, поэтому подтверждённо вредоносный пакет приходит как malware к удалению, а не как обычный баг.

В комплекте пять скиллов: `/npmscan:dependency-audit` прогоняет цепочку инструментов по `package.json`, локфайлу или SBOM, `/npmscan:package-trust-check` копает один пакет, `/npmscan:new-dependency-evaluation` сравнивает кандидатов на добавление, `/npmscan:incident-response` собирает шаги по устранению, `/npmscan:ci-pr-gate` выдаёт вердикт PASS/WARN/FAIL для CI.

## Требования
- Нужно: Node.js (команды через npx)
- Удалённый сервер: `https://npmscan.com/api/mcp`

## Установка

### Claude Code (родная платформа)

**Командой платформы: удалённый сервер**
```bash
claude mcp add --transport http npmscan https://npmscan.com/api/mcp
```

### Codex

**Командой платформы: удалённый сервер**
```bash
codex mcp add npmscan --url https://npmscan.com/api/mcp
```

### Cursor

**Файл настроек**
Файл `.cursor/mcp.json`:
```json
{
    "mcpServers": {
        "npmscan": {
            "url": "https://npmscan.com/api/mcp"
        }
    }
}
```

### GitHub Copilot

**Файл настроек**
Файл `.vscode/mcp.json`:
```json
{
    "servers": {
        "npmscan": {
            "type": "http",
            "url": "https://npmscan.com/api/mcp"
        }
    }
}
```

### Gemini CLI

**Командой платформы: удалённый сервер**
```bash
gemini mcp add -t http npmscan https://npmscan.com/api/mcp
```

## Когда брать
- проверить, не вредоносный ли пакет, который тянет зависимость
- найти уязвимости в версии, зафиксированной в локфайле
- сравнить двух-пяти кандидатов перед добавлением в проект
- разобрать вывод `npm audit --json` в понятный отчёт
- получить вердикт по диффу зависимостей для PR

## Примеры запросов агенту
- Проверь зависимости в `package.json` и покажи, что опасно
- Безопасен ли пакет `event-stream`?
- Сравни `axios`, `got` и `node-fetch` для нашего проекта

## Похожие
- [REA](https://affpapa.org/nevibecode/mcp/rea.md) — MCP-сервер · ★ 386989
- [World Monitor](https://affpapa.org/nevibecode/mcp/world-monitor.md) — MCP-сервер · ★ 89408
- [mcp](https://affpapa.org/nevibecode/mcp/kubeshark-mcp.md) — MCP-сервер · ★ 12109
- [Robin: AI-Powered Dark Web OSINT](https://affpapa.org/nevibecode/mcp/robin-ai-powered-dark-web-osint.md) — MCP-сервер · ★ 7658
- [jshookmcp](https://affpapa.org/nevibecode/mcp/jshookmcp.md) — MCP-сервер · ★ 2061
- [OpenOSINT](https://affpapa.org/nevibecode/mcp/openosint.md) — MCP-сервер · ★ 1802

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md