MCP Web Audit

🚀 mcp-web-audit

このツールは Node.js をベースとしたフロントエンドエンジニアリングのセキュリティ監査ツールで、ローカルプロジェクトとリモートリポジトリの全面的な依存関係のセキュリティ監査をサポートしています。

✨ 主な機能

• 🛡️ 全面的な監査: フロントエンドエンジニアリングのすべての直接および間接的な依存関係を監査します。
• 🌐 多ソースサポート: ローカルエンジニアリングとリモートリポジトリ（GitHub など）の監査をサポートします。
• 📊 詳細なレポート: 標準形式の Markdown 監査レポートを生成します。
• 🔌 MCP 統合: MCP (Model Context Protocol) サーバーとして監査サービスを提供します。
• ⚡ 自動化: 全自動の監査プロセスで、手動介入は不要です。
• 🚀 CLI サポート: npx で直接呼び出すことができ、インストール不要です。

📋 監査内容

• 脆弱性検出: 依存パッケージ内の既知のセキュリティ脆弱性を識別します。
• バージョン分析: 依存パッケージのバージョンのセキュリティと互換性をチェックします。
• 依存関係チェーン分析: 間接的な依存関係を詳細に分析します。
• リスク評価: 脆弱性を深刻度別に分類します（Critical、High、Moderate、Low）。
• 修復提案: 具体的な修復策と提案を提供します。

🚀 クイックスタート

npx を使用する (推奨)

インストールせずに直接使用できます。

# ローカルプロジェクトを監査する
npx mcp-web-audit /path/to/your/project

# リモートリポジトリを監査する
npx mcp-web-audit https://github.com/user/repo

# 出力ファイルを指定する
npx mcp-web-audit /path/to/project -o ./my-audit.md

# ヘルプを表示する
npx mcp-web-audit --help

# バージョンを表示する
npx mcp-web-audit --version

グローバルインストール

# グローバルインストール
npm install -g mcp-web-audit

# コマンドを使用する
mcp-web-audit /path/to/your/project

ローカルで開発バージョンをインストールする

# リポジトリをクローンする
git clone https://github.com/shenzhihao/mcp-web-audit.git
cd mcp-web-audit

# 依存関係をインストールする
npm install

# ローカルでテストする
node bin/cli.js /path/to/test/project

💻 使用例

基本的な使用法

npx mcp-web-audit [options] <プロジェクトパス>

パラメータ説明

• <プロジェクトパス>: 監査対象のプロジェクトのパス（ローカルの絶対パスまたはリモートリポジトリの URL）

オプション

• -o, --output <ファイル>: 出力レポートのファイルパスを指定します (デフォルト: ./audit-report.md)
• -h, --help: ヘルプ情報を表示します
• -v, --version: バージョン情報を表示します

具体的な使用例

# 現在のディレクトリを監査する
npx mcp-web-audit .

# 指定したローカルプロジェクトを監査する
npx mcp-web-audit /Users/username/my-project

# GitHub リポジトリを監査する
npx mcp-web-audit https://github.com/facebook/react

# 出力ファイル名を指定する
npx mcp-web-audit ./my-project -o security-report.md

# ヘルプ情報を表示する
npx mcp-web-audit --help

MCP サーバーとして実行する

node src/mcpServer.js

プログラムで呼び出す

import { auditPackage } from "mcp-web-audit";

// ローカルプロジェクトを監査する
await auditPackage("/path/to/your/project", "./audit-report.md");

// リモートリポジトリを監査する
await auditPackage("https://github.com/user/repo", "./audit-report.md");

📊 監査レポートの例

生成される監査レポートには以下の情報が含まれます。

• プロジェクト概要: プロジェクト名、バージョンなどの基本情報
• 脆弱性集計: 深刻度別に集計された脆弱性の数
• 詳細な脆弱性リスト: 各脆弱性の詳細情報で、以下が含まれます。
  • 脆弱性の説明
  • 影響を受けるパッケージとバージョン
  • 深刻度評価
  • 修復提案
  • 関連リンク

📝 要件

• Node.js: >= 14.0.0
• ネットワーク: リモートリポジトリを監査する際にはネットワーク接続が必要です。
• ディスク容量: 少なくとも 100MB の空き容量が必要です（一時ファイル用）

📁 プロジェクト構造

src/
├── audit/              # 監査の核心モジュール
│   ├── currentAudit.js  # 現在のプロジェクトの監査
│   ├── getDepChain.js   # 依存関係チェーンの分析
│   ├── index.js         # 監査のメインエントリー
│   ├── normalizeAuditResult.js  # 結果の標準化
│   ├── npmAudit.js      # NPM の監査
│   └── remoteAudit.js   # リモートの監査
├── common/             # 汎用ユーティリティ
│   └── utils.js        # ユーティリティ関数
├── entry/              # プログラムのエントリー
│   └── index.js        # 主要な API エントリー
├── generateLock/       # Lock ファイルの生成
│   ├── generateLock.js # Lock ファイルの生成ロジック
│   └── index.js        # モジュールのエントリー
├── main/               # メインプログラム
│   └── index.js        # メインプログラムのエントリー
├── parseProject/       # プロジェクトの解析
│   ├── index.js        # 解析のエントリー
│   ├── parseLocalProject.js   # ローカルプロジェクトの解析
│   └── parseRemoteProject.js  # リモートプロジェクトの解析
├── render/             # レポートのレンダリング
│   ├── index.js        # レンダリングのエントリー
│   ├── markdown.js     # Markdown のレンダリング
│   └── test/           # テストファイル
├── workDir/            # 作業ディレクトリの管理
│   └── index.js        # 作業ディレクトリの操作
└── mcpServer.js        # MCP サーバー

🔧 技術詳細

auditPackage(projectRoot, savePath)

指定されたプロジェクトのすべての依存パッケージを監査します。

パラメータ:

• projectRoot (string): プロジェクトのルートディレクトリの絶対パスまたはリモートリポジトリの URL
• savePath (string): 監査レポートの保存先パス

使用例:

// ローカルプロジェクト
await auditPackage("/Users/username/my-project", "./audit.md");

// リモートリポジトリ
await auditPackage("https://github.com/facebook/react", "./react-audit.md");

🛠️ 技術スタック

• 実行環境: Node.js (ES Modules)
• 核心依存関係:
  • @modelcontextprotocol/sdk: MCP プロトコルのサポート
  • ejs: テンプレートエンジン
  • zod: データ検証

🔒 セキュリティ監査の流れ

1. プロジェクト解析: プロジェクトの package.json ファイルを解析します。
2. 依存関係分析: すべての直接および間接的な依存関係を分析します。
3. Lock ファイル生成: 依存関係のロックファイルを生成します。
4. セキュリティスキャン: npm audit を使用してセキュリティスキャンを行います。
5. 結果の標準化: 監査結果を標準化して処理します。
6. レポート生成: Markdown 形式の監査レポートを生成します。

🤝 貢献ガイド

このプロジェクトの改善にご協力いただける場合は、Issue と Pull Request の提出を歓迎します。

📄 ライセンス

ISC License

📞 サポート

使用中に問題が発生した場合は、Issue を提出するか、メンテナに連絡してください。