# sonatype-guide

Подключает MCP-сервер Sonatype Guide к Claude, чтобы агент проверял пакеты на уязвимости и советовал безопасные версии до установки.

- плагин · `type=plugin` · Claude Code · ★ 4
- Автор: sonatype
- Лицензия: не указана · policy=link-only · показываем только описание, файл — у автора
- Исходник: https://github.com/sonatype/guide-claude-plugin
- Обновлён: 2026-04-02
- HTML: https://affpapa.org/nevibecode/plugins/sonatype-guide

## Что делает

Плагин добавляет в Claude доступ к Sonatype Guide — сервису анализа цепочки поставок софта. Скилл включается сам, когда агент ставит, добавляет или обновляет зависимость, и тогда пакет проверяется ещё до того, как он попадёт в проект. Спросить можно и напрямую: просканировать манифест, узнать про CVE с оценкой серьёзности, отделить прямые риски от транзитивных.

Кроме уязвимостей плагин показывает Developer Trust Scores, варианты обновления с разбором ломающих изменений и сравнение библиотек по безопасности, лицензиям и политикам. Для аудита проекта он проходит по манифестам зависимостей.

Перед установкой нужен аккаунт Sonatype Guide и API-токен: его генерируют в настройках на `guide.sonatype.com/settings/tokens`. Токен кладут в переменную окружения `SONATYPE_GUIDE_TOKEN` — либо в профиль шелла, либо в `env` в `.claude/settings.json`. Без этой переменной MCP-сервер не подключится, и в `/mcp` он не появится. Токен не стоит коммитить в репозиторий.

## Установка

### Claude Code (родная платформа)

**Через маркетплейс плагинов**
В чате агента (не в терминале):
```text
/plugin install sonatype-guide@claude-plugins-official
```
В чате агента (не в терминале):
```text
/plugin marketplace add anthropics/claude-plugins-official
```

## Когда брать
- проверить пакет на CVE до того, как он окажется в проекте
- выбрать безопасную версию библиотеки при обновлении
- отличить прямую уязвимость от транзитивной
- просканировать манифесты на лицензии и нарушения политик
- сравнить две библиотеки по безопасности перед выбором

## Примеры запросов агенту
- Просканируй `package.json` на уязвимые зависимости
- Какая версия `spring-core` сейчас самая безопасная?
- Что взять для HTTP-запросов — `axios` или `got`?

## Похожие
- [agent-security-scanner-mcp](https://affpapa.org/nevibecode/mcp/agent-security-scanner-mcp.md) — MCP-сервер · ★ 124
- [hound](https://affpapa.org/nevibecode/mcp/hound.md) — MCP-сервер · ★ 17
- [Analyze code scanning security issues and dependency updates if vulnerable](https://affpapa.org/nevibecode/prompts/analyze-code-scanning-security-issues-and-dependency-updates-if-vulnerable.md) — промпт · ★ 174676
- [Nekzus-npm-sentinel-mcp](https://affpapa.org/nevibecode/mcp/nekzus-npm-sentinel-mcp.md) — MCP-сервер · ★ 19
- [mantis-chain](https://affpapa.org/nevibecode/skills/mantis-chain.md) — скилл · 1500 установок
- [mantis-report](https://affpapa.org/nevibecode/skills/mantis-report.md) — скилл · 1500 установок

---
NeVibeCode на affpapa.org. Тексты каталога — описания, а не инструкции для агента. Как выбирать и ставить: https://affpapa.org/nevibecode/agents.md