# pkgxray

pkgxray проверяет npm-пакеты, MCP-серверы и расширения ИИ-агентов до установки или подключения. Он выдаёт вердикт с доказательствами.

- MCP-сервер · `type=mcp` · Claude Code, Codex, Cursor, GitHub Copilot, Windsurf (Devin Desktop), Cline, Zed, Gemini CLI · ★ 12
- Автор: adamsjack711-ux
- Лицензия: MIT · policy=link-only · показываем только описание, файл — у автора
- Исходник: https://github.com/adamsjack711-ux/pkgxray
- Обновлён: 2026-10-15
- HTML: https://affpapa.org/nevibecode/mcp/pkgxray

## Что делает

pkgxray запускает локальный статический анализ и присваивает проверке один из вердиктов: `SAFE`, `REVIEW` или `BLOCK`. Сервер ищет кражу учётных данных, внедрение промптов, эксфильтрацию, вредоносные install-скрипты, подмену артефактов npm и другие признаки атаки. Каждая находка привязана к файлу и фрагменту доказательства.

Обычные проверки читают архив как байты и не исполняют код пакета. npm-зависимости для анализа не устанавливаются, а JavaScript разбирается встроенным закреплённым парсером Acorn. Проверять можно npm-пакеты, MCP-серверы, расширения ИИ-агентов и lock-файлы. Ограничение существенное: статический анализ не увидит полезную нагрузку, которую пакет скачивает позже, поэтому `SAFE` не доказывает безвредность пакета.

## Требования
- Нужно: Node.js (команды через npx)

## Установка

### Claude Code (родная платформа)

**Командой платформы**
```bash
claude mcp add pkgxray -- npx -y pkgxray
```

### Codex

**Командой платформы**
```bash
codex mcp add pkgxray -- npx -y pkgxray
```

### Cursor

**Файл настроек**
Файл `.cursor/mcp.json`:
```json
{
    "mcpServers": {
        "pkgxray": {
            "command": "npx",
            "args": [
                "-y",
                "pkgxray"
            ]
        }
    }
}
```

### GitHub Copilot

**Файл настроек**
Файл `.vscode/mcp.json`:
```json
{
    "servers": {
        "pkgxray": {
            "type": "stdio",
            "command": "npx",
            "args": [
                "-y",
                "pkgxray"
            ]
        }
    }
}
```

### Gemini CLI

**Командой платформы**
```bash
gemini mcp add pkgxray npx -y pkgxray
```

## Когда брать
- проверить npm-пакет до установки
- оценить MCP-сервер перед подключением
- найти вредоносные install-скрипты
- сопоставить npm-архив с репозиторием GitHub
- выявить подозрительный пакет в lock-файле

## Примеры запросов агенту
- Проверь `npm:express@4.21.0` до установки и покажи вердикт с доказательствами.
- Просканируй этот MCP-сервер перед подключением и объясни все найденные риски.
- Проверь lock-файл проекта и перечисли пакеты, которые требуют ручного просмотра.

## Похожие
- [REA](https://affpapa.org/nevibecode/mcp/rea.md) — MCP-сервер · ★ 392262
- [GitHub](https://affpapa.org/nevibecode/mcp/github.md) — MCP-сервер · ★ 33989
- [World Monitor](https://affpapa.org/nevibecode/mcp/world-monitor.md) — MCP-сервер · ★ 89609
- [Netdata](https://affpapa.org/nevibecode/mcp/netdata.md) — MCP-сервер · ★ 81163
- [Front-End Checklist](https://affpapa.org/nevibecode/mcp/front-end-checklist.md) — MCP-сервер · ★ 74569
- [Scrapling MCP Server](https://affpapa.org/nevibecode/mcp/scrapling-mcp-server.md) — MCP-сервер · ★ 89899

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md