依赖包安装前恶意审计

装 npm 包或接 MCP server 前，先扫一遍它是不是带毒

痛点

npm 供应链投毒和恶意 MCP server 越来越多，普通开发者装包前几乎没有低成本的手段去判断一个包要不要信。已经有人做了「安装前检查 NPM 包或 MCP server 是否含恶意代码」的工具，说明「装之前先验一验」是开发者真实的心理需求，而不是事后补救。

方案

一个安装前审计工具：输入包名或 MCP server 地址，快速输出可疑行为摘要（postinstall 脚本、网络外联、混淆代码、异常权限、近期维护者变更等），并给出风险等级与解释。可做成 CLI、IDE 插件和 CI 钩子三种形态。

用户

Node.js / 前端开发者、使用 MCP server 的 AI 工程师、关注供应链安全的小团队

MVP

npx 一行的 CLI 查询；检测 postinstall / preinstall 脚本、可疑网络调用与混淆代码；输出风险评分与可解释理由；支持 MCP server 清单审计；可作为 CI 前置检查

变现

CLI 免费，团队版订阅提供私有 registry 扫描、CI 集成与策略管理；为安全团队提供 API 计费

为何现在

npm 供应链攻击和 MCP 生态爆发同时发生，开发者对「装之前先看一眼」的需求正快速上升，而现有工具偏重企业级 SCA，缺少轻量面向个人的前置检查。