📦

mcp-builder

Name: mcp-builder
Author: ZhanlinCui

Ревизия содержимого r1 Высокий риск 🌐 Доступ к сети🔑 Переменные окружения⚙️ Внешние команды

Создавайте надежные MCP-серверы

Проекты MCP-серверов часто терпят неудачу из-за неясности в проектировании инструментов, выборе транспорта и оценке. Этот навык предоставляет структурированные рекомендации по планированию, реализации, тестированию и оценке MCP-серверов на Python или TypeScript.

Поддерживает: Claude Codex Code(CC)

⚠️ 38 Плохо

Остановитесь и запросите подтверждение перед установкой.

Проверьте план и получите явное согласие пользователя перед изменением файлов.

Установить с помощью моего Агента

Скопируйте этот запрос в своего Агента. Он содержит каноническую страницу Skill и манифест.

Запрос агента

Review the Skillstore skill "mcp-builder" from https://skillstore.io/skills/zhanlincui-mcp-builder.md and its manifest at https://skillstore.io/api/skills/zhanlincui-mcp-builder/manifest. Verify the artifact. Stop and obtain explicit user consent before installing or changing files.

Ваш Агент по-прежнему должен показать план и запросить все подтверждения, требуемые политикой безопасности.

Ресурсы для AI-агентов

Используйте эти ссылки, когда AI-агенту, crawler или script нужен чистый контекст вместо полной страницы.

Markdown-детали GET /skills/zhanlincui-mcp-builder.md Подписанный manifest GET /api/skills/zhanlincui-mcp-builder/manifest Подписанный lockfile GET /api/skills/zhanlincui-mcp-builder/lockfile

Протестировать

Использование «mcp-builder». Спланируй MCP-сервер для API управления проектами.

Ожидаемый результат:

План разработки с выбором транспорта, заметками по аутентификации, списком инструментов, рекомендациями по схемам, правилами пагинации и последовательностью тестирования.

Использование «mcp-builder». Проверь описания и аннотации моих MCP-инструментов.

Ожидаемый результат:

Четкие проблемы, сгруппированные по имени инструмента.
Предложенные имена и описания.
Исправления аннотаций для read-only, destructive, idempotent и open-world поведения.

Использование «mcp-builder». Создай вопросы для оценки моего сервера.

Ожидаемый результат:

Набор реалистичных read-only вопросов с ожидаемыми ответами и рекомендациями по запуску среды оценки.

Аудит безопасности

Высокий риск

v4 • 08.07.2026 Открыть версионный отчет

Most static findings are false positives caused by Markdown examples, TypeScript template literals, placeholder URLs, and placeholder API keys in reference material. I confirmed the evaluation harness risk where user-supplied environment variables are forwarded to a locally launched MCP server, and added a semantic finding for unrestricted local command execution during stdio evaluation.

Просканировано файлов

3,330

Проанализировано строк

Пункты проверки

Ложные срабатывания проигнорированы

Подтверждённые проблемы безопасности (4)

Высокий

scripts/connections.py:80

Environment file access

self.env = env

The harness stores user-supplied environment variables that can include secrets before launching a local MCP server. This is intended behavior, but it exposes supplied secrets to any evaluated stdio server.

Высокий

scripts/connections.py:84

Environment file access

StdioServerParameters(command=self.command, args=self.args, env=self.env)

The stdio connection forwards the provided environment dictionary into the launched MCP process. This is a real secret exposure risk when the evaluated server command is untrusted.

Высокий

scripts/evaluation.py:344

Environment file access

env_vars = parse_env_vars(args.env) if args.env else None

The CLI parses user-supplied environment variables and passes them into the evaluation connection. This is expected for testing, but scoped secrets can be exposed to the target server.

Высокий

scripts/evaluation.py:327-329 scripts/evaluation.py:347-351 scripts/connections.py:82-84

Unrestricted Local MCP Process Launch

The evaluation harness accepts a command, arguments, and environment variables, then launches a stdio MCP server from those values. This is intended for testing, but evaluating untrusted servers can execute local code and expose supplied secrets.

The CLI explicitly accepts command, args, and env options and passes them to StdioServerParameters. The risk depends on user choices, but the execution and secret-forwarding boundary is clear.

Факторы риска

🌐 Доступ к сети (33)

🔑 Переменные окружения (18)

⚙️ Внешние команды (46)

Аудитор:: codex Посмотреть историю аудитов →

Поделиться и цитировать этот отчет

Делитесь версионным отчетом об оценке, нейтральным значком, встраиваемой карточкой и цитатами. Skillstore публикует доказательства, не решая, безопасен ли этот Skill.

Открыть версионный отчет

Копировать ссылку на отчёт

https://skillstore.io/skills/zhanlincui-mcp-builder/audits/4?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Значок Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/zhanlincui-mcp-builder/security.svg)](https://skillstore.io/skills/zhanlincui-mcp-builder?utm_source=security_passport_badge)

Значок HTML

<a href="https://skillstore.io/skills/zhanlincui-mcp-builder?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/zhanlincui-mcp-builder/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Встраиваемая карточка

<iframe src="https://skillstore.io/embed/skills/zhanlincui-mcp-builder.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Академические ссылки (APA · BibTeX · CFF)

Цитата APA

ZhanlinCui. (2026). mcp-builder security audit report (audit version 4) [Author version unspecified]. Skillstore. https://skillstore.io/skills/zhanlincui-mcp-builder/audits/4

Цитата BibTeX

@techreport{zhanlincui-zhanlincui-mcp-builder-2026,
  author = {ZhanlinCui},
  title = {mcp-builder security audit report (audit version 4)},
  institution = {Skillstore},
  year = {2026},
  number = {4},
  url = {https://skillstore.io/skills/zhanlincui-mcp-builder/audits/4},
  note = {Author version unspecified}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "mcp-builder security audit report (audit version 4)"
version: "unspecified"
type: report
authors:
  - name: "ZhanlinCui"
date-released: "2026-07-08"
url: "https://skillstore.io/skills/zhanlincui-mcp-builder/audits/4"
identifiers:
  - type: other
    value: "skillstore:zhanlincui-mcp-builder:audit:4"
    description: "Skillstore immutable audit report identifier"

Сравнить варианты

15 устанавливаемых вариантов

Навык каждого автора остаётся отдельным устанавливаемым вариантом. Рекомендуемый вариант ранжируется по данным Skillstore.

Почему этот вариант первый

Самая высокая оценка Skillstore

Автор / источник Оценка Skillstore Достоверность доказательств Использование в Skillstore Обновлено

Doyajin174 Рекомендуется

doyajin174-mcp-builder

Оценка Skillstore 78

Достоверность доказательств Высокий

Использование в Skillstore 14

Обновлено

2026-09-09

anthropics

mcp-builder

Оценка Skillstore 75

Достоверность доказательств Высокий

Использование в Skillstore 16

Обновлено

2026-09-09

Azeem-2

azeem-2-mcp-builder

Оценка Skillstore 75

Достоверность доказательств Высокий

Использование в Skillstore 8

Обновлено

2026-09-09

mcp-use

mcp-use-mcp-builder

Оценка Skillstore 68

Достоверность доказательств Высокий

Использование в Skillstore 10

Обновлено

2026-09-09

shubhamsaboo

shubhamsaboo-mcp-builder

Оценка Skillstore 67

Достоверность доказательств Средний

Использование в Skillstore 5

Обновлено

2026-09-09

YYH211

yyh211-mcp-builder

Оценка Skillstore 66

Достоверность доказательств Высокий

Использование в Skillstore 69

Обновлено

2026-09-09

Cam10001110101

cam10001110101-mcp-builder

Оценка Skillstore 66

Достоверность доказательств Высокий

Использование в Skillstore 10

Обновлено

2026-09-09

DYAI2025

dyai2025-mcp-builder

Оценка Skillstore 66

Достоверность доказательств Высокий

Использование в Skillstore 7

Обновлено

2026-09-09

ZhanlinCui Текущий

zhanlincui-mcp-builder

Оценка Skillstore 38

Достоверность доказательств Средний

Использование в Skillstore 25

Обновлено

2026-09-09

92Bilal26

92bilal26-mcp-builder

Оценка Skillstore 38

Достоверность доказательств Средний

Использование в Skillstore 17

Обновлено

2026-09-09

sickn33

sickn33-mcp-builder

Оценка Skillstore 38

Достоверность доказательств Средний

Использование в Skillstore 15

Обновлено

2026-09-09

AutumnsGrove

autumnsgrove-mcp-builder

Оценка Skillstore 38

Достоверность доказательств Средний

Использование в Skillstore 10

Обновлено

2026-09-09

ArtemisAI

artemisai-mcp-builder

Оценка Skillstore 38

Достоверность доказательств Средний

Использование в Skillstore 10

Обновлено

2026-09-09

ComposioHQ

composiohq-mcp-builder

Оценка Skillstore 38

Достоверность доказательств Средний

Использование в Skillstore 9

Обновлено

2026-09-09

davila7

davila7-mcp-builder

Оценка Skillstore 38

Достоверность доказательств Средний

Использование в Skillstore 8

Обновлено

2026-09-09

Оценка Skillstore

Почему такая оценка Достоверность доказательств: Средний

Архитектура

Сопровождаемость

Контент

Сообщество

Соответствие спецификации

Что вы можете построить

Создать новую интеграцию с сервисом

Спланируйте и реализуйте MCP-сервер, который предоставляет API продукта через понятные инструменты и валидированные входные данные.

Стандартизировать внутренние MCP-паттерны

Используйте чеклист лучших практик, чтобы согласовать именование, транспорт, пагинацию, аутентификацию и обработку ошибок между командами.

Оценить качество инструментов

Создавайте read-only вопросы для оценки и запускайте включенную среду, чтобы измерить, насколько эффективно агенты могут использовать сервер.

Попробуйте эти промпты

Спланируй мой MCP-сервер

Use the mcp-builder skill to plan an MCP server for [service]. Identify the core tools, transport choice, authentication approach, and first implementation steps.

Спроектируй схемы инструментов

Use the mcp-builder guidance to design MCP tools for [workflow]. Include tool names, input fields, output format, annotations, pagination, and error behavior.

Проверь MCP-сервер

Review this MCP server using the mcp-builder quality checklist. Focus on tool descriptions, input validation, auth handling, transport setup, and response consistency.

Создай задачи для оценки

Use the mcp-builder evaluation process to create ten read-only evaluation questions for this MCP server. Make each answer stable, verifiable, and realistic.

Лучшие практики

Используйте узконаправленные имена инструментов, строгие схемы входных данных, понятные форматы вывода и пагинацию для каждой операции со списком.
Храните учетные данные вне исходного кода и тестируйте только на доверенных локальных серверах или одобренных удаленных endpoints.
Создавайте read-only оценки, которые используют стабильные данные, и проверяйте точные ответы перед измерением производительности агента.

Избегать

Не предоставляйте широкий доступ к shell, файлам или сети через расплывчатые MCP-инструменты.
Не хардкодьте реальные API-ключи, bearer tokens или URL частных сервисов в примерах или сгенерированном коде.
Не рассматривайте аннотации как механизмы безопасности; реализуйте авторизацию, валидацию и rate limits в коде.

Часто задаваемые вопросы

Что помогает создавать этот навык?

Он помогает создавать MCP-серверы, которые предоставляют внешние сервисы AI-агентам через хорошо спроектированные инструменты.

Генерирует ли он полный сервер автоматически?

Он предоставляет паттерны, примеры и шаги проверки. Финальный сервер все равно требует реализации и тестирования.

Какие языки он охватывает?

Он охватывает TypeScript с MCP SDK и Python с FastMCP.

Могу ли я использовать его с Claude, Codex и Claude Code?

Да. Рекомендации совместимы с рабочими процессами Claude, Codex и Claude Code.

Что нужно проверить перед публикацией сервера?

Проверьте аутентификацию, валидацию входных данных, разрешения, размер вывода, пагинацию, сообщения об ошибках и результаты оценки.

Почему риск безопасности средний?

Навык включает опциональные скрипты, которые могут запускать локальные команды, подключаться к удаленным MCP endpoints и передавать учетные данные, предоставленные пользователем.