我们检查什么

下面每一项都是我们系统对每个 server 实际做的事，只用公开数据。这不是安全认证，我们也不给总评分。

1. 作者与仓库一致

   比对 Official MCP Registry 中登记的名称与 GitHub 仓库所有者或注册表已验证的域名。不一致可能是别人转载。

2. 仍在维护

   查看 GitHub 上最近一次代码更新。超过 6 个月 = 注意 · 超过 1 年或已归档 = 不通过。

3. 有许可证

   读取 GitHub 在仓库中识别的许可证类型。没有文件 = 不通过 · 作者自己的云端 server 不算这一项。

4. 云端地址有响应

   发送 MCP 启动请求并获取工具列表，最多等 6 秒，不发送任何密钥或数据。最常用的 2,000 个每天检查，其余轮流检查。

5. OAuth 登录

   查看 server 是否公布了 AI 应用可代为完成的登录流程，还是需要手动粘贴密钥。

6. 工具说明里没有隐藏指令

   阅读云端 server 公布的每个工具说明，寻找试图让 AI 做你没要求的事的文字。

7. 可复制的命令通过检查

   网站让你复制的每条命令和配置都要先通过检查：只允许指定程序（npx、uvx、docker 等）、没有 shell 连接符、该版本的包确实存在于 npm、PyPI 或 Docker、地址使用 https。未通过 = 没有复制按钮。

8. 已公开的漏洞（OSV.dev）

   询问开放数据库 OSV.dev，我们推荐的 npm 或 PyPI 版本是否有漏洞记录，每 7 天复查。只查该版本的包本身，不含所有依赖。查询失败就显示“尚未检查”。

9. 响应历史

   每个 server 每天保留一次云端地址检查结果，保存 30 天；至少有 3 次后，按最近 7 次显示“最近 M 次中有 N 次响应”。这不是全天在线率。

JSON 格式的结果

每个 server 的结果在 /api/servers/<slug>/checks.json，无需密钥。

作者：申请重新检查或报告信息错误

在你的 server 页面的检查部分点击按钮。需要登录；每个账号每天最多 3 次。我们团队会逐条阅读。

浏览 server →