mcp-app-check

# mcp-app-check 新增：显式 JSON 配置、可重复的 `--ignore` 与可见的抑制计数。 [使用说明](docs/maintenance-2026-09.md). [](https://github.com/Uky0Yang/mcp-app-check/actions/workflows/ci.yml) [](https://www.python.org/) [](LICENSE) 用一个无依赖、只读的 CLI，在提交前检查 MCP Apps 项目的协议就绪度和常见安全问题。 它适合正在开发 MCP Apps 的个人开发者、MCP server 维护者和需要在 CI 中设置最低质量门槛的团队。工具扫描 TypeScript、JavaScript、Python、HTML 等源码，不启动服务器、不执行项目代码，也不发起网络请求。 > English summary: a dependency-free static readiness and security checker for vendor-neutral MCP Apps projects, with CI-friendly JSON output and actionable Chinese diagnostics.  ## 实测演示 仓库内的 `examples/ready-app` 是一个最小、可扫描的 MCP App server 示例。下面这条命令会读取其源码并显示全部规则结果，不会安装依赖或执行示例代码： ```powershell python -m mcp_app_check examples\ready-app --include-passes ``` 当前示例结果为：扫描 1 个文件，9 条规则全部通过，`errors=0`、`warnings=0`、`skipped=0`。上方截图对应这条命令的实际输出；用于截图的无外部依赖页面保存在 [`docs/demo.html`](docs/demo.html)。静态规则通过不代表完整的运行时兼容认证。 ## 为什么做这个项目 [MCP Apps](https://github.com/modelcontextprotocol/ext-apps) 让 MCP 工具可以在对话中返回表单、图表和其他交互式 UI。协议涉及 `ui://` 资源、特定 MIME、工具与 UI 的元数据关联、结构化结果、文本降级和 iframe 通信边界；项目能运行，不代表这些契约都已经正确表达。 `mcp-app-check` 把一组高价值、可静态判断的信号变成提交前检查： - 比通用代码搜索更稳定：每个问题有固定 rule ID、严重级别和修复建议。 - 比运行未知项目更安全：只读文本，不安装依赖，也不启动 MCP server。 - 比绑定单一宿主更可移植：以官方 MCP Apps 格式为基线，不要求 ChatGPT 或 Claude 专有字段。 - 对中文开发者更低摩擦：默认输出中文，JSON 字段保持机器可读。 它不是完整的协议 conformance suite，也不会证明 UI 在每个宿主中都能正确渲染。静态通过后，仍应使用官方 Inspector 和目标客户端做运行时测试。 ## 30 秒开始 要求 Python 3.10 或更高版本。 ```powershell git clone https://github.com/Uky0Yang/mcp-app-check.git cd mcp-app-check python -m mcp_app_check D:\path\to\your-mcp-app ``` 输出示例： ```text mcp-app-check 已扫描 7 个文件：D:\path\to\your-mcp-app errors=1 warnings=1 info=0 skipped=0 [错误] MCA008 src/server.ts:41 CSP 域列表包含…