جزء من حزمة StudioMeyer MCP — صُنعت في مايوركا 🌴 · ⭐ إذا كنت تستخدمها

mcp-stdio-shellguard

• مواصفة MCP: 2025-06-18
• SDK: @modelcontextprotocol/sdk ^1.29.0
• Node: >= 20
• الترخيص: MIT
• المؤلف: Matthias Meyer (StudioMeyer)

التثبيت

npm install mcp-stdio-shellguard

أو شغّل واجهة التدقيق مباشرة دون تثبيت:

npx -y -p mcp-stdio-shellguard mcp-shellguard-audit scan ./src

ماذا يوفّر لك

ثلاث طبقات، تُفعَّل اختياريًا كلٌّ على حدة:

1. مكتبة برمجية — guardExec / guardSpawn جاهزة للاستبدال المباشر تستدعيها من خادم MCP الخاص بك. قائمة سماح ترفض افتراضيًا، ملفات تعريف صندوق رمل، نافذة إعادة تشغيل.
2. واجهة سطر أوامر للتدقيق — mcp-shellguard-audit scan <path> تجتاز AST وتبلّغ عن 12 نمطًا مضادًا تتراوح من LOW (بدون مهلة) حتى CRITICAL (exec(\...${userInput}...`)`).
3. خادم MCP مرجعي — mcp-stdio-shellguard-demo يعرض 8 أدوات بحيث يمكن لمفتّش MCP / Claude Desktop قيادة الحزمة مباشرة.

الأدوات (الخادم المرجعي)

ملفات تعريف صندوق الرمل

يمكن للمستدعي التضييق عبر timeoutMs / fdBudget لكل استدعاء. لا يمكن للمستدعي التوسيع بما يتجاوز ملف التعريف.

مستويات الثقة

ارفع من LOW إلى CRITICAL بتسجيل الأداة + ضبط argsPatterns + التشغيل عبر guardExec/guardSpawn (اللذَين يفعّلان دائمًا صندوق الرمل وإعادة التشغيل).

بدء سريع مع المكتبة

import {
  AllowlistRegistry,
  ReplayWindow,
  guardExec,
} from "mcp-stdio-shellguard";

const registry = new AllowlistRegistry();
const replay = new ReplayWindow();

registry.register({
  toolName: "git-log",
  executable: "/usr/bin/git",
  argsPatterns: ["^log$", "^--oneline$", "^-n$", "^\\d+$"],
  sandboxProfile: "strict",
});

const result = await guardExec(
  {
    toolName: "git-log",
    command: "/usr/bin/git",
    args: ["log", "--oneline", "-n", "10"],
  },
  { registry, replay },
);

console.log(result.stdout); // → commit lines
console.log(result.trustTier); // → "CRITICAL"
console.log(result.canonicalHash); // → 64-char SHA-256

واجهة سطر أوامر التدقيق

mcp-shellguard-audit scan ./src
mcp-shellguard-audit scan ./src --format sarif --output audit.sarif
mcp-shellguard-audit scan ./src --severity-floor HIGH    # CI gate

رموز الخروج:

• 0 نظيف (لا توجد نتائج عند الحد الأدنى أو فوقه)
• 1 توجد نتائج
• 2 أخطاء تحليل / إدخال-إخراج

مكتبة الأنماط المضادة (12 قاعدة)

يحلّ الماسح روابط child_process المعاد تسميتها قبل المطابقة، لذلك تُلتقط الأشكال الخطرة أدناه حتى عندما يمر الاستدعاء عبر اسم مستعار بدل child_process.exec حرفي:

• const execAsync = promisify(exec); execAsync(...${x})
• import cp from "node:child_process"; cp.exec(...${x})
• const { exec: sh } = require("child_process"); sh(...${x})
• import { exec as run } from "node:child_process"; run(...)

تشارك المتغيرات المتزامنة (spawnSync، execFileSync) قواعد نظيراتها غير المتزامنة، ويُفعَّل shell_true_option أيضًا على صدفة نصية ({ shell: "/bin/sh" }) أو قيمة صدفة ديناميكية — وليس فقط حرفي { shell: true }. تبقى promisify لدالة ليست من child_process، وتفكيك من وحدة أخرى، و{ shell: false } نظيفة (بدون نتائج إيجابية خاطئة).

التوجيهات (Pragmas)

• // shellguard:ignore-next-line — كتم نتيجة واحدة
• // shellguard:ignore-file — كتم الملف بالكامل (نادر؛ يُفضَّل لكل سطر)

لماذا يوجد هذا

أفصحت Ox-Security (2026-05) عن أن أكثر من 200 ألف خادم MCP stdio يغلّفون child_process.exec بسلاسل قالب تحمل مدخلات مستخدم مباشرة من وسائط أدوات LLM. كان LiteLLM v1.83.6 المثال المعياري (تم تصحيح CVE في 1.83.7). هذه الحزمة هي النظير الأمني الدفاعي: حارس جاهز للاستبدال + ماسح يسدّ هذه الفئة. مستوحاة من مستويات seccomp في AWS Linux + صندوق رمل Chromium.

انظر أيضًا

• HOOK_RECIPES.md — وصفات خطافات Claude Code التي تحظر تلقائيًا استدعاءات الأدوات الخطرة
• CHANGELOG.md — سجل الإصدارات
• تدقيق Ox-Security MCP: https://venturebeat.com/security/200000-mcp-stdio-servers/
• LiteLLM CVE-2026-XXXX: https://github.com/BerriAI/litellm/security/advisories

الترخيص

MIT — حقوق النشر (c) 2026 Matthias Meyer (StudioMeyer)