直接在对话中查询 npm 包的元数据、已知漏洞和 CVE 详情。NPMScan 的 MCP 服务器为 AI 智能体提供只读工具,数据来自 npm registry、OSV.dev、GitHub Security Advisories、GitHub 自身的 API 以及 NIST 的 National Vulnerability Database:按名称或关键词搜索包,每条结果都带有下载量、依赖该包的项目数量,以及仿冒包名(typosquat)检测;在安装前检查包的 install script、维护者、许可证、GitHub star 数和下载趋势,或将 2 到 5 个候选包并排比较并给出确定性的推荐结果;核实 lockfile 中锁定的确切版本,或在运行 npm install 之前模拟升级某个包,看它是安全的补丁升级还是可能破坏兼容性的大版本升级;一次查询单个包或最多 100 个包的漏洞,每条结果都附带严重程度、摘要、CVE 别名以及修复版本,而不只是一个安全公告 ID;一次性审计整个 GitHub 仓库的依赖(包括 monorepo 的 workspaces),或生成符合 CycloneDX/SPDX 规范、内嵌漏洞和许可证数据的 SBOM;根据 CISA KEV 和 FIRST EPSS 的实际利用数据,对一份原始的 npm audit --json 报告中的发现项进行优先级排序,再为某个被标记的问题取出具体、有序的修复 playbook;检查某个 npm 维护者账号的发布历史,看是否有类似账号被盗的集中发布模式,或获取其基本资料;浏览最新的 npm 安全公告——既可以是 GitHub 经过审核、以 CVE 为主的公告集合,也可以是其已知恶意包的 malware feed——可按严重程度、漏洞类别(XSS、SQL/NoSQL 注入、SSRF、访问控制、代码注入等 15 种以上,仅限已审核的公告)、受影响的包名称,或精确的 GHSA/CVE ID 进行筛选;还可以查询任意生态系统中任意 CVE 的权威 CVSS/CWE 数据,并附带 CISA 的 Known Exploited Vulnerabilities 状态和 FIRST.org 的 EPSS 可利用概率评分。无需 API key 或身份验证,每条结果都会链接到 npmscan.com 上的完整分析。