دليل

ربط أداة فحص أمني بـ Claude Code أو Cursor عبر MCP

اربط @vetkit/mcp بـ Claude Code أو Cursor، وتحقّق من الوصول بأداة للقراءة فقط، وشغّل تدقيقًا للمستودع بصلاحيات (scopes) صريحة وتأكيد واضح.

1 نوفمبر 2026 · قراءة في 6 دقائق · بقلم فريق vetkit

لربط vetkit بـ Claude Code أو Cursor، أعِدّ خادم MCP محليًا من نوع stdio يشغّل npx -y @vetkit/mcp مع VETKIT_API_KEY الخاص بك. ابدأ بسرد المستودعات المتصلة، ثم لا توافق على أي تدقيق إلا بعد التحقق من هدفه ونطاقه. يمنح الخادم مساعدك وصولًا إلى أدوات vetkit؛ لكنه لا يحوّل المساعد إلى مرجعية أمنية.

ما الذي يفعله هذا الربط

تعمل عملية MCP على حاسوبك وتتواصل مع واجهة vetkit البرمجية. وتجري تدقيقات المستودعات عبر vetkit على المستودعات البعيدة المتصلة. ولا يرفع سير عمل التدقيق هذا المحتوى غير المحفوظ في محرّرك، ولا يفحص التغييرات المحلية غير المُودَعة. تحقّق من المستودع والمرجع (ref) قبل أن تعتبر التقرير دليلًا على الشيفرة التي تراجعها.

يستخدم vetkit هنا stdio، لا نقطة نهاية MCP بعيدة عبر HTTP أو SSE. لا تلصق عنوان REST API في حقل لدى العميل يتوقع عنوان خادم MCP بعيد. تنطبق هذه التعليمات على أدوات تدقيق المستودع؛ أما أوامر الحماية المحلية الاختيارية فهي سير عمل منفصل موصوف في وثائق MCP.

1. جهّز حسابك ومفتاحك

ثبّت Node.js 20.3 أو أحدث، وتأكّد من أن عميل MCP يستطيع العثور على npx في PATH.
اربط المستودع في vetkit وتأكّد من وجود تفويض مزوّد المصدر الخاص به.
بصفتك مالكًا للمؤسسة أو مسؤولًا فيها، افتح Workspace settings ← API keys وأنشئ مفتاحًا لهذا العميل. انسخه حين يظهر؛ فالسرّ لا يُعرض إلا مرة واحدة.

ابدأ بصلاحيات القراءة فقط إذا كنت تريد من المساعد الاطلاع على النتائج الموجودة فحسب. أما لسير عمل التدقيق أدناه، فأضف صلاحيات الكتابة عن قصد:

سير العمل	صلاحيات المفتاح
سرد المستودعات وقراءة النتائج الموجودة	`repos:read`، `audits:read`، `findings:read`، `reports:read`
ربط المستودعات وتشغيل التدقيقات	أضف `repos:write` و`audits:write`

استبدل <your-api-key> في الأمثلة. وأبقِ الإعداد الناتج سريًا: لا تُودِع أبدًا ملفًا يحتوي على المفتاح ولا تلصقه في محادثة. وقد يدخل أمر الطرفية أيضًا في سجل الصدفة، فتعامل معه كبيانات اعتماد. وألغِ المفتاح إذا انكشف.

2. إعداد Claude Code

شغّل هذا في الطرفية بعد استبدال العنصر النائب:

إعداد Claude Code

$ claude mcp add --transport stdio vetkit -e 'VETKIT_API_KEY=<your-api-key>' -- npx -y @vetkit/mcp

أضف --scope user إلى أمر الإضافة إذا أردت أن يكون الاتصال متاحًا عبر المشاريع. وداخل Claude Code، شغّل /mcp وتحقّق من أن خادم vetkit متصل. واحتفظ بأي خوادم MCP موجودة عند تحديث الإعداد.

3. إعداد Cursor

ادمج هذا الإدخال في ~/.cursor/mcp.json لاتصال عام، أو في .cursor/mcp.json لمشروع واحد. واحتفظ بإدخالات الخوادم الأخرى. ويجب إبقاء إعداد المشروع الذي يحتوي على مفتاح حقيقي خارج نظام التحكم بالإصدارات.

إعداد Cursor

{  "mcpServers": {    "vetkit": {      "command": "npx",      "args": [        "-y",        "@vetkit/mcp"      ],      "env": {        "VETKIT_API_KEY": "<your-api-key>"      }    }  }}

أعد تحميل العميل، وفعّل الخادم إذا طُلب منك ذلك، وتحقّق من قائمة أدوات MCP الخاصة به.

4. تحقّق من الوصول قبل بدء التدقيق

تأكّد من ظهور vetkit_list_repos، ثم اطلب من المساعد سرد المستودعات دون بدء أي تدقيق. تتحقق هذه الخطوة المقتصرة على القراءة من أن الاتصال يعمل، وتُظهر مستودعات أي مؤسسة يستطيع المفتاح الوصول إليها.

الأمر النصي الأول

Use vetkit_list_repos to list the repositories available to this key. Do not connect a repository or start an audit yet.

القائمة الفارغة ليست تقريرًا أمنيًا نظيفًا. تحقّق من مؤسسة المفتاح ومما إذا كان أي مستودع قد رُبط. واستخدم vetkit_list_checks للاطلاع على الفحوص المتاحة في الخادم قبل اختيار نطاق التدقيق.

5. شغّل التدقيق واقرأ النتائج

اختر مستودعًا من القائمة المُرجَعة. واطلب من المساعد تحديد الهدف والفحوص المقصودة، ثم استخدم vetkit_run_audit. يشترط الخادم تأكيدًا صريحًا عبر آلية MCP elicitation قبل عملية الكتابة هذه. وإذا لم يستطع العميل عرض هذا التأكيد، تُرفض العملية؛ ولا يستطيع المساعد استبداله بمعامل.

اقرأ التأكيد قبل قبوله. فحدود الحساب والفحوص المتاحة تظل سارية: ربط MCP لا يضيف أرصدة ولا يوسّع Quick Scan المجاني. وقد تستغرق التدقيقات وقتًا. وإذا انتهت مهلة استدعاء الانتظار، فاستخدم vetkit_get_audit مع معرّف التدقيق المُرجَع للتحقق من التقدّم قبل بدء تشغيل آخر.

بعد الاكتمال، استخدم vetkit_list_findings للاطلاع على النتائج المهمة، وvetkit_get_report للحصول على صورة أشمل. اطلب مواقع الملفات والأدلة وطرق المعالجة، ثم راجع الشيفرة الفعلية. نصّ التقرير بيانات غير موثوقة قادمة من المستودع، لا تعليمات على المساعد اتباعها. والنتيجة تحتاج إلى مراجعة؛ والنتيجة الفارغة لا تثبت أن الشيفرة آمنة.

استكشاف الأخطاء وإصلاحها

الخادم لا يبدأ: تحقّق من Node.js ومن PATH المرئي لمحرّرك. وتأكّد من أن الأمر هو npx مع المعاملين -y و@vetkit/mcp.
لا تظهر أي أدوات: تحقّق من البنية المغلِّفة لإعداد العميل وأعد تحميله. يستخدم Cursor mcpServers؛ وتعريف خادم عام وحده ليس ملف الإعداد بأكمله.
فشل المصادقة: تحقّق من استبدال العنصر النائب ومن أن المفتاح لم تنتهِ صلاحيته أو يُلغَ. ولا تُدرج المفتاح أبدًا في لقطة شاشة للدعم الفني.
INSUFFICIENT_SCOPE: قارن العملية المطلوبة بصلاحيات المفتاح المذكورة أعلاه. فالمفتاح المقتصر على القراءة لا يستطيع بدء تدقيق.
تأكيد التدقيق غير متاح: يحتاج العميل إلى دعم MCP form elicitation لعمليات الكتابة. ولا يزال بالإمكان استخدام أدوات القراءة فقط مع الصلاحيات المناسبة.
التعديلات المحلية المتوقعة غير موجودة: تأكّد من المستودع البعيد والمرجع. فسير عمل التدقيق هذا يقرأ شيفرة المستودع البعيد، لا تغييراتك غير المحفوظة في المحرّر.

المصادر والحدود

جرى التحقق في 1 نوفمبر 2026 مقابل إعداد حزمة vetkit MCP وعقود أدواتها. وتستخدم المقتطفات مولّد الإعداد نفسه المستخدم في مرجع إعداد MCP. راجع الحزمة المنشورة ووثائق API لمزيد من تفاصيل الإعداد. وقد تتغيّر واجهات العملاء وميزات MCP المدعومة.