خادم vetkit MCP

MCP معيار مفتوح. لإعداده، عرّف خادمًا محليًا باسم vetkit يستخدم stdio وفق التعريف أدناه، ثم اتبع تعليمات عميلك؛ إذ تختلف بنية ملف الإعداد بين العملاء. لا يقتصر التكامل على Claude. ولا يمكن للبرامج العميلة التي لا تدعم إلا خوادم HTTP/SSE البعيدة الاتصال مباشرةً، لأن vetkit لا يوفّر نقطة نهاية MCP بعيدة.

{  "command": "npx",  "args": [    "-y",    "@vetkit/mcp"  ],  "env": {    "VETKIT_API_KEY": "<your-api-key>"  }}

ثم اطلب من وكيلك مثلًا: «دقّق acme/payments-api وأخبرني بما ينبغي إصلاحه أولًا.» أعد تحميل العميل وتأكد من ظهور vetkit_list_repos في قائمة أدواته.

المتطلبات

• Node.js بالإصدار 20.3 أو أحدث، مع إتاحة npx ضمن PATH.
• حساب vetkit مع تثبيت تطبيق GitHub على المستودعات التي تريد تدقيقها.
• مفتاح API من vetkit؛ توضحه الخطوة التالية.

أنشئ مفتاح API

1. افتح Settings → API keys في تطبيق vetkit. يستطيع مالكو المؤسسات والمسؤولون فقط إدارة المفاتيح.
2. سمِّ المفتاح بحسب مكان استخدامه، مثل «MCP — الحاسوب المحمول».
3. اختر نطاقات الصلاحيات. لإتاحة جميع وظائف MCP، اختر repos:read وrepos:write وaudits:read وaudits:write وfindings:read وreports:read. لوكيل بصلاحية القراءة فقط، استبعد repos:write وaudits:write.
4. يمكنك اختياريًا تحديد انتهاء الصلاحية وحد الطلبات في الدقيقة؛ الافتراضي 60، والحد الأقصى 600.
5. انسخ القيمة السرية، التي تبدأ مثلًا بـ vk_live_…. تُعرض مرة واحدة فقط؛ ويحتفظ vetkit ببصمة تجزئتها.

التثبيت

Cursor

ادمج إعداد vetkit أدناه في ~/.cursor/mcp.json للاستخدام العام، أو في .cursor/mcp.json داخل المشروع. لا تُضف إلى سجل Git ملف إعداد مشروع يحتوي على مفتاحك.

{  "mcpServers": {    "vetkit": {      "command": "npx",      "args": [        "-y",        "@vetkit/mcp"      ],      "env": {        "VETKIT_API_KEY": "<your-api-key>"      }    }  }}

VS Code / GitHub Copilot

ادمج هذا الإعداد في .vscode/mcp.json مع الإبقاء على خوادمك الحالية. يستخدم VS Code / GitHub Copilot الحقل servers بدلًا من mcpServers. شغّل vetkit ووافق عليه من قائمة خوادم MCP. استبدل القيمة النائبة بالمفتاح، ولا تُضف إلى سجل Git ملف إعداد يحتوي على قيمته السرية.

{  "servers": {    "vetkit": {      "type": "stdio",      "command": "npx",      "args": [        "-y",        "@vetkit/mcp"      ],      "env": {        "VETKIT_API_KEY": "<your-api-key>"      }    }  }}

Codex

أضف أقسام TOML هذه إلى ~/.codex/config.toml دون استبدال الإعدادات الحالية. يشترك Codex CLI وإضافة بيئة التطوير في هذا الملف. استبدل القيمة النائبة بالمفتاح، وأعد تشغيل العميل، وتحقّق باستخدام codex mcp list. حافظ على خصوصية الملف.

[mcp_servers.vetkit]command = "npx"args = ["-y", "@vetkit/mcp"] [mcp_servers.vetkit.env]VETKIT_API_KEY = "<your-api-key>"

Claude Code

$ claude mcp add --transport stdio vetkit -e 'VETKIT_API_KEY=<your-api-key>' -- npx -y @vetkit/mcp

أضف --scope user لإتاحة vetkit في جميع مشاريعك بدلًا من المشروع الحالي فقط.

Claude Desktop

افتح Settings → Developer → Edit Config وأضف vetkit إلى claude_desktop_config.json، ثم أعد تشغيل Claude Desktop:

{  "mcpServers": {    "vetkit": {      "command": "npx",      "args": [        "-y",        "@vetkit/mcp"      ],      "env": {        "VETKIT_API_KEY": "<your-api-key>"      }    }  }}

عملاء MCP الآخرون

يمكن استخدام أي عميل يستطيع تشغيل خادم stdio: شغّل npx -y @vetkit/mcp مع المتغير VETKIT_API_KEY في بيئته. يمكنك أيضًا تثبيت الحزمة على مستوى النظام وتشغيل الملف التنفيذي vetkit-mcp مباشرةً.

$ npm install -g @vetkit/mcp$ VETKIT_API_KEY=vk_live_... vetkit-mcp

الإعداد

يُضبط الخادم بالكامل باستخدام متغيرات البيئة.

الأدوات

تُعيد كل أداة نصًا مقروءًا، وتُعيد جميع الأدوات عدا vetkit_get_report محتوى منظّمًا محدد الأنواع أيضًا. تحمل الأدوات توصيفات MCP التي تتيح للعملاء الموافقة تلقائيًا على أدوات القراءة فقط. لا تحذف أي أداة بيانات.

{ "limit": 10 }

{ "url": "https://github.com/acme/payments-api" }

{ "repo": "acme/payments-api", "ref": "main", "suites": ["security"] }

{}

{ "auditId": "0192f3a4-5b6c-7d8e-9f01-23456789abcd" }

{ "auditId": "0192f3a4-…", "severity": ["CRITICAL", "HIGH"] }

{ "findingId": "0193b2c4-…" }

{ "auditId": "0192f3a4-…", "findingIds": ["0193b2c4-…"] }

{ "auditId": "0192f3a4-…", "format": "markdown" }

{ "auditId": "0192f3a4-…", "standard": "owasp-top10-2021" }

{ "ecosystem": "npm", "packages": [{ "name": "left-pad", "version": "1.3.0" }] }

{ "files": [{ "path": "src/config.ts", "content": "…" }] }

حواجز حماية للوكلاء

تتيح أداتان لوكيل البرمجة فحص عمله قبل التنفيذ: vetkit_check_packages قبل تثبيت اعتمادية، وvetkit_scan_changes قبل الـ commit. تحتاج كلتاهما إلى مفتاح API بنطاق agent:check.

تعيد كلتاهما حكمًا allow أو warn أو block مع الأسباب. Block: الحزمة غير موجودة (اسم مُختلَق أو من نوع slopsquatting)، أو لها سجل حزمة خبيثة معروفة في OSV، أو لها تنبيه في CISA KEV عندما تحظر سياستك الثغرات المستغلّة المعروفة، أو تستخدم ترخيصًا من قائمة الحظر لدى مؤسستك، أو يحتوي التغيير على سرّ مُضاف إلى الشيفرة. Warn: إصدار غير منشور، أو إصدار حديث جدًا، أو انتشار محدود، أو تنبيه بخطورة تساوي الحد الأدنى في سياستك أو تتجاوزه، أو نتائج أخرى في الشيفرة. تُدرج المصادر التي يتعذر الوصول إليها كتحذيرات؛ وتُتخطى تلك الفحوصات ولا تُخمَّن أبدًا.

خطّاف Claude Code

يقرأ vetkit-mcp hook pre-tool-use مدخلات PreToolUse من Claude Code، ويعثر على عمليات تثبيت الحزم في أوامر Bash، ويخرج بالرمز 2 عندما يحظر vetkit حزمة، فيوقف Claude Code الأمر ويعرض السبب. وإلا فإنه يخرج بالرمز 0 ويطبع أي تحذيرات. عند الأخطاء لا يحظر شيئًا: دون VETKIT_API_KEY، أو عند تعذّر الوصول إلى API، يحذّر ويترك الأمر يعمل. أضفه إلى .claude/settings.json:

{  "hooks": {    "PreToolUse": [      {        "matcher": "Bash",        "hooks": [          {            "type": "command",            "command": "npx -y @vetkit/mcp hook pre-tool-use",            "timeout": 30          }        ]      }    ]  }}

اضبط VETKIT_API_KEY في الصدفة على مفتاح بنطاق agent:check، لا في ملف يُضاف إلى المستودع.

الفحوصات

تُنظّم الفحوصات في خمس مجموعات، ولكل مجموعة تقييم مستقل. أوزان الدرجة الإجمالية هي: الأمان 43%، وجودة الكود 18%، والاستدامة 11%، ومخاطر كود الذكاء الاصطناعي 13%، والجاهزية للإنتاج 15%. تُحتسب المجموعات التي شُغّلت فقط، وتُعاد موازنة أوزانها؛ فدون الجاهزية للإنتاج تصبح الأوزان 50% و22% و13% و15% على الترتيب، وعند تشغيل الأمان وجودة الكود فقط تصبح 70% و30%. مرّر معرّفات الفحوصات في analyzers، أو اختر مجموعة عبر suites.

عمليات التدقيق طويلة المدة

تكتمل معظم عمليات التدقيق خلال دقائق قليلة. تستعلم vetkit_run_audit كل بضع ثوانٍ وترسل إشعارات بالتقدم أثناء الانتظار. تُلغي بعض البرامج العميلة استدعاءات الأدوات بعد مدة محددة؛ فمثلًا يراعي Claude Code المتغير MCP_TOOL_TIMEOUT. إذا كان عميلك يفعل ذلك، فمرّر "wait": false واستعلم باستخدام vetkit_get_audit. عند انتهاء timeoutSeconds، يستمر التدقيق وتُعيد الأداة "outcome": "still_running".

الأخطاء

تُعاد أخطاء API كنتائج أدوات تحمل isError: true، وتتضمن حالة HTTP ورمز خطأ vetkit والرسالة ومعرّف الطلب وإرشادًا للمساعدة.

• 401 API_KEY_INVALID أو API_KEY_REVOKED أو API_KEY_EXPIRED — أنشئ مفتاحًا أو جدّده، وحدّث VETKIT_API_KEY، ثم أعد تشغيل الخادم.
• 403 INSUFFICIENT_SCOPE — يفتقر المفتاح إلى نطاق صلاحيات تتطلبه الأداة.
• 409 AUDIT_CONCURRENCY_LIMIT أو 429 RATE_LIMITED — انتظر ثم أعد المحاولة. يتضمن الإرشاد مدة الانتظار عندما تُرسل API الترويسة Retry-After.
• 422 ANALYZER_UNAVAILABLE — أحد الفحوصات المحددة في analyzers غير متاح على هذا الخادم. استدعِ vetkit_list_checks، أو مرّر suites لاختيار الفحوصات المتاحة فقط.
• تُعاد INSTALLATION_REQUIRED كنتيجة عادية تتضمن رابط تثبيت تطبيق GitHub، وليست خطأً.

ملاحظات الأمان

• عامل مفتاح API ككلمة مرور. يتيح الوصول إلى عمليات تدقيق مؤسستك ونتائجها، بما فيها المستودعات الخاصة. احفظه في إعداد env لعميل MCP، ولا تضعه في ملفات تُضاف إلى سجل Git. امنحه نطاقات الصلاحيات المطلوبة فقط، وحدّد انتهاء صلاحيته، وأبطله من التطبيق إذا تسرّب.
• يُرسل المفتاح إلى VETKIT_API_URL فقط، في ترويسة Authorization: Bearer عبر HTTPS. لا يكتبه الخادم في السجلات ولا يدرجه في رسائل الخطأ.
• يتواصل الخادم ببروتوكول MCP عبر stdio فقط. لا يفتح أي منافذ شبكة، ويكتب السجلات إلى stderr فقط.
• تُحجب الأسرار من مقتطفات النتائج قبل تخزينها في vetkit، ولا تُعاد قيم الأسرار مطلقًا.
• يأتي نص التقارير والنتائج من المستودع الذي يُدقّق، بما يشمل مسارات الملفات والرسائل. عامله كمدخلات غير موثوق بها، مثل مخرجات أي أداة أخرى؛ فقد يحاول مستودع خبيث تضمين تعليمات تستهدف وكيلك.

تفضّل HTTP مباشرةً؟ كل ما يتيحه خادم MCP متاح عبر REST API.