@ 4da/ mcp- 服务器

升级AI编码代理的情报. 在你的经纪人碰到一个依赖之前,它会学习你运行的版本和你想要的版本之间有什么变化,你的哪些文件会触碰,哪些文件会从你自己的锁文件中,在你的机器上,使移动修正变得脆弱. 加上Osv-scanner平分时的脆弱性扫描,排名升级计划和决策内存. 零相克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克克.

You:     "Upgrade axum to 0.8"
Agent →  upgrade_impact { package: "axum", to_version: "0.8.4" }

         axum 0.7.9 -> 0.8.4: 5 releases (0.8.2 yanked), changelog from the 0.8.4 crate.
         12 breaking entries, 8 touch your code (Path, Query, Router, extract, serve):
           breaking  Remove OptionalFromRequestParts impl for `Query`        (you use Query)
           breaking  Require `Sync` for all handlers added to `Router`       (you use Router)
           ...
         Your code: 10 files import axum.

(真正的输出,节选,运行在这个寄存器上,2026-10-02

一个要安装的命令 。 没有 API 密钥 。 没有账户。 你的密码从不离开机器.

安装

要求节点.js 22或后.

服务器使用节点内置 node:sqlite (Node 22.13 and later)),因此它不需要安装脚本,并配合npm 12的默认屏蔽. 在节点22.0-22.12上,它使用可选的 better-sqlite3,其原生模块 npm 10 和 11 建立在安装上. npx @4da/mcp-server --doctor 显示在使用哪个.

claude mcp add 4da -- npx @4da/mcp-server

作为克洛德代码插件 (MCP服务器加钩子):

claude plugin marketplace add 4DA-Systems/4da-mcp-server
claude plugin install 4da@4da

钩子:当您的代理编辑依赖的版本时 package.json, (中文(简体) ), Cargo.toml, (中文(简体) ), pyproject.toml, (中文(简体) ), requirements.txt 或者说 go.mod,它被告知哪个软件包移动,给出精确 dependency_check 财务报告和审定财务报表 upgrade_impact 在安装和建造之前发出呼吁。 钩子为平地节点,接触无所取出,为其他编辑都保持沉默.

{
  "mcpServers": {
    "4da": {
      "command": "npx",
      "args": ["@4da/mcp-server"]
    }
  }
}

{
  "servers": {
    "4da": {
      "type": "stdio",
      "command": "npx",
      "args": ["@4da/mcp-server"]
    }
  }
}

{
  "mcpServers": {
    "4da": {
      "command": "npx",
      "args": ["@4da/mcp-server"]
    }
  }
}

npx @4da/mcp-server --setup --dry-run   # show each file and entry, write nothing
npx @4da/mcp-server --setup

那就问你的AI: "如果我把X升级到Y会有什么变化?", (中文(简体) ), "寻找弱点" 或者说 "我该先升级什么?"

如何运作

服务器读取其启动的工程的每个锁定文件, 包括根下的独立锁定的项目( 带有 src-tauri/Cargo.lock 在根边 pnpm-lock.yaml 并跳过什么 .gitignore 不包括: package-lock.json 编号 : npm-shrinkwrap.json, (中文(简体) ), pnpm-lock.yaml (v5-v9), (中文(简体) ), yarn.lock (v1和莓汁), bun.lock, (中文(简体) ), Cargo.lock (包括货物工作空间), poetry.lock, (中文(简体) ), uv.lock, (中文(简体) ), pdm.lock, (中文(简体) ), Pipfile.lock,要求标针*requirements*.txt, (中文(简体) ), requirements/*.txt,与 -r 财务报告和审定财务报表 -c, (中文(简体) ), go.mod 编号 : go.sum (Go's building list), (Go's building list,),(Go's building list),(Go's Building list,),(Go's Building sin't. (Go's build list),(Go's Building list),(Go's Build s, Gemfile.lock (RubyGems; git和路径宝石是本地代码,而不是发布)和 composer.lock (纸币学家). 文件夹中的每一个 Python 源被读取, 不仅仅是第一个. 每个已安装的拷贝都经过扫描,而不是每个名字的一个版本,带有锁文件自己的dev旗. 当锁文件更改时,它会重新读取它们,Npm也会检查什么 node_modules 实际持有。 走行部下行了4个关卡,最多达256个项目;不管它漏出什么,每个没有锁文件(它申报的范围没有安装也没有扫描)的表单都列在答案中 coverage 块,从不静地掉下。 其不读的生态系统表象也一样 pom.xml,"格拉德",".NET" *.csproj 编号 : packages.lock.json, Pub, Hex, SwiftPM, CocoaPods : (原始内容存档于2019-09-29) coverage.not_covered),已存在但无法读取的锁文件(相接冲突标记,无效的JSON: coverage.unreadable_lockfiles),和测试固定目录下的锁文件(tests/, (中文(简体) ), test/, (中文(简体) ), fixtures/, (中文(简体) ), testdata/, (中文(简体) ), __fixtures__/, (中文(简体) ), conformance/ 除非您通过,否则不会扫描为项目本身 include_test_fixtures: true (单位:千美元)coverage.not_scanned) (中文(简体) ).

一个不完整的答案从来不是干净的. 当 OSV.dev 无法回答一些依赖性时(出局, HTTP 出错, 超时, 查询预算), vulnerability_scan 开始于 summary: "NOT CHECKED: ... N of M dependencies have no vulnerability answer",计算它们 coverage.unchecked_dependencies设置 total_vulnerable_packages 财务报告和审定财务报表 by_severity 改为无效( 所检查的部分在 found_in_checked_dependencies(三); dependency_health 扣取它的分数和脆弱计数 upgrade_planner 套装 vulnerabilityDataAvailable: false在OSV的预算允许的情况下,大树会被分批询问1000个,因此一棵超过一万个依赖的树会被完整回答.

以19个公共存放处(npm,pnpm v5-v9,纱线v1和berry, bun, Cargo, Poetry, uv, Pipfile, requireds, Go; 2026-10-10)上Osv-scanner来衡量, OSV自己的API解决了每一个差异:精度为1.00比19,115的发现,在读取的锁文件上回顾了19,116中的19,115个(Maven/Gradle不读取). 还对照ip-audit检查了新读出的要求文件.

• OSV.dev (英语) 与精确安装的版本相匹配
• npm 注册、 箱子. io、 PyPI、 Go 模块代理 (registry.npmjs.org, criticers.io and index.crates.io, pypi.org, 代理.golang.org)用于版本,去皮和扬克
• npm 下载数 (api.npmjs.org),用于: dependency_health每周下载数
• 软件包自己的注册归档 (registry.npmjs.org, site.crates.io, files.python托管.org, 代理.golang.org)用于更改日志 upgrade_impact 读取; GitHub 仅当您选择使用 FOURDA_GITHUB_CHANGELOG=true (下关
• npm 完整组合,则 箱子.io 版本 API,则 派皮·杰森·阿普 编辑 访问代理服务器的版本列表 页:1 dependency_check (平时,扬克和取出;npm上和箱子上.io上也发布,安装脚本,每版依赖. 这些请求只包含软件包名称;您安装的版本从未发送到一个注册,只是Go代理的列表没有日期,所以它被要求使用 .info (同一请求) go get 做起来。 OSV.dev 软件包的咨询列表允许 dependency_check 指定安全释放的限制。 包被缓存到磁盘上并重新验证 If-None-Match显示每秒一个空位.
• 哈克新闻 Algolia API (hn.algolia.com),只有在你打电话的时候 ecosystem_pulse
• GitHub 图像 (api.github.com, 生.githubusercontent.com),只使用 FOURDA_GITHUB_CHANGELOG=true
• 您的嵌入提供者,只有当您配置了一个用于语义回想(本地 Ollama URL, 或 api.openai.com; 见下文) 时,才会使用此语言

这些都是服务器联系人的主机.

结果被缓存(登记数据24小时,脆弱性1小时,新闻30分钟),每个来源的费率有限.

网络上传来的信息: 软件包名称和版本(在您的锁文件中可见的相同数据),以及 ecosystem_pulse,将您几个依赖的名称作为搜索条件。 没有源代码,没有文件路径,没有个人数据. 现场扫描 upgrade_impact 本地运行。 设定 FOURDA_OFFLINE=true 以禁用所有网络呼叫.

GitHub 发布注释( opt- in, 默认关闭) . 许多软件包在其注册档案(vite,zod,cobra,大多数Go模块)中没有更改日志. 与 FOURDA_GITHUB_CHANGELOG=true 在服务器环境中, upgrade_impact 读取寄存器的 GitHub 发布时, 存档中没有更改范围( 对于 PyPI, 首先是一个更改日志, 将 GitHub 上的工程链接从它的 project_urls). GitHub随后收到寄存器名称和版本,别无其他. 它使用未经认证的REST API(每小时60个请求)或 GITHUB_TOKEN 当设置(5,000个)时; 速率限制随重置时间报告, 永不重复循环, 结果被缓存 。 关闭它后,一个没有更改日志的答案会这样说,并命名设置;没有猜测.

写到磁盘上的东西, 和在哪里: 仅将服务器自有的文件保存在您的用户数据目录中的文件夹中( i)%LOCALAPPDATA%\4da-mcp, (中文(简体) ), ~/Library/Application Support/4da-mcp 或者说 ~/.local/share/4da-mcp· ; FOURDA_MCP_HOME 移动它: cache.db (登记、OSV和更改日志回复;安全删除)和 standalone.db (没有桌面应用程序:您的工程扫描以及您记录的决定、代理内存和反馈). 你仓库里没有东西.

安装了 4DA 桌面应用后,服务器会读取该应用的数据库(4da.db通过a 只读 连接并永远不创建或修改其中的任何内容:没有表格、没有列、没有缓存。 唯一的写作是四个应用程序的表格中的行,这些工具是用来填充的,所以应用程序看到了它们:决定(decision_memory - > (中文) developer_decisions),代理内存(agent_memory)和反馈record_feedback - > (中文) interactions 财务报告和审定财务报表 feedback,该应用的校正读取。 这些通过一个单独的书写连接 等待应用程序的锁。 如果您的应用版本缺少表格或一栏的记录需要,则记录会转到 standalone.db 反之,反应是这样的 _meta.(在6.1之前,服务器还创建了 live_cache 应用程序数据库中的表格;它现在将缓存保存在 cache.db. ) (中文(简体) )

配置和数据库的来源: FOURDA_DB_PATH 如果设置( 相对路径解决了服务器的工作目录, 必须指定一个已有文件的名称; 当目录存在时, 没有命名文件的绝对路径会被创建为一个新的独立数据库, 第一个工具答案在 _meta.database_note; 否则被错误拒绝), 否则桌面应用程序的数据目录中的数据库, 否则服务器自己的 standalone.db。嵌入设置来自 FOURDA_SETTINGS_PATH,否则 settings.json 旁边 FOURDA_DB_PATH,否则桌面应用程序的数据目录。 从目录中找不到任何信息, 服务器启动时间为: 直到6. 2.5 a data/settings.json 或者说 data/4da.db 工作目录在内部(或旁边)被采纳,所以一个被克隆的寄存器可以将语义回想重定向到它所选择的一大批或者植入"决定".

一个例外,如果你 明确 配置一个 OpenAI 嵌入提供者( O)FOURDA_EMBED_PROVIDER=openai) 对于语义回想,您存储的决定/记忆文本被发送到OpenAI被嵌入. 默认 —— 没有嵌入提供者, 或本地 Ollama 之一 —— 将所有东西保存在您的机器上,以及 FOURDA_OFFLINE=true 不管怎样,都会推翻它.

生态系统得到支持: npm, 箱子.io (Rust), PyPI (Python), Go; 互联网档案馆的存檔,存档日期2013-12-21; vulnerability_scan 也读取 RubyGems (Gemfile.lock)和包装剂(composer.lock. Maven、Gradle和.NET不读取,列为未覆盖. upgrade_impact 读取 npm, bartries.io, PyPI 和 Go. PyPI : 版本和日期来自 PyPI JSON API, 发行的 sdist 的更改日志, 并导入匹配到发行安装的模块上的站点: 读取您虚拟env 的元数据 (.venv, (中文(简体) ), venv, (中文(简体) ), env数字 : top_level.txt 或者说 RECORD),否则就是一个众所周知的差别表(ePyYAML - > (中文) yaml, (中文(简体) ), Pillow - > (中文) PIL),否则就是发行名称,答案就标出一个假设. 上:版本和代理日期. golang.org,模块zip的更改日志,以及一个主要版本2+作为模块路径的更改报告它(github.com/jackc/pgx/v4 - > (中文) /v5),带有导入旧路径的文件. dependency_check 在PyPI和Go上, 注册处没有披露出版商身份或安装钩子.

众所周知的限度,明确表明: (单位:千美元) requirements.txt 没有锁文件名称, 只有您的直接指针, 因此它们的过渡依赖性没有扫描( 使用) uv lock, (中文(简体) ), poetry lock 或者说 pip-compile) (中文(简体) ). 许多邮包的登记档案中没有更改日志(快活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活活; upgrade_impact 并给出发布符 URL 而不是猜测。 从更改日志的标题和措辞中标出中断条目,每个条目都标有其标题(under) (中文(简体) ). 在Npm、kitchers.io、PyPI和Go(1 618个条目,3个有逐字记录的盲度检测器取出黄金;面板和测量值在测试套间)的40个真正升级的面板上测量:在规则制定过程中进行的20个升级中,95%标出破损的条目(95%CI 89-98%)被标出,大约72%的破损条目被标出; 写作传教词的Go发行笔记最弱(约54%召回). 将旗子视为前作:读取每个重大升级的条目. 每个回答都这么说 _meta.classification。 。 。 .

你可以问什么

"What changes if I upgrade axum to 0.8?"      -> upgrade_impact
"Check my dependency health"                  -> dependency_health
"Scan for vulnerabilities"                    -> vulnerability_scan
"Which deps should I upgrade first?"          -> upgrade_planner
"Is it safe to bump axios to 1.14.1?"         -> dependency_check
"Pin ws to a 7.x version"                     -> dependency_check (to: "7.x")
"I'm about to bump fastembed 5 -> 7"          -> what_should_i_know
"What's happening in the ecosystem?"          -> ecosystem_pulse
"What's my tech stack?"                       -> get_context
"Record a decision: we chose Postgres"        -> decision_memory
"Does switching to MySQL align?"              -> check_decision_alignment
"Remember: never use ORM for batch inserts"   -> agent_memory

所有 16 个工具

依赖性

情报

决定和内存

身份

* 要求 4DA 桌面应用程序 用于完整数据.

提示 : deps

一个用户输入的工作流程(由显示 MCP 提示的主机显示为斜线命令). 它告诉特工逃跑 upgrade_planner,检查每一个提议与 dependency_check,仅应用 proceed 每次批次后,小批次中随项目本身测试的物项,停止并报告每批次 review 编号 : avoid 编号 : wait 编号 : unknown 及其证据,并重新运行 vulnerability_scan 在结尾。 可选参数 scope (例如:. security only) (中文(简体) ).

独立对全模式

MCP服务器在不使用桌面应用程序的情况下工作. 它在您的用户数据文件夹中保持一个小的本地数据库( Name%LOCALAPPDATA%\4da-mcp, (中文(简体) ), ~/Library/Application Support/4da-mcp 或者说 ~/.local/share/4da-mcp,从不在您的仓库中),并在每次启动时扫描您的项目:

下载 4DA 完全经验.

运输

静态 (默认) -- 与所有 MCP 主机合作 :

npx @4da/mcp-server

可流取的 HTTP --用于远程或多客户设置:

npx @4da/mcp-server --http --port 4840

HTTP 运输与 127.0.0.1 默认并应用 a Host-头头 DNS对每一个请求都重新绑定了警卫. 暴露在机器之外需要 一个共同的秘密:

MCP_AUTH_SECRET=<same value as the relay's JWT_SECRET> \
MCP_ALLOWED_HOSTS=mcp.internal \
  npx @4da/mcp-server --http --host 0.0.0.0

无 MCP_AUTH_SECRET 启动时拒绝使用非离子绑定。 带着它, 每一份申请都必须带有一个熊熊标志,其HMAC-SHA256签名经过验证 反此秘诀,而符相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相相viewer 实值 仅读; member 财务报告和审定财务报表 admin (可能写作). 把TLS放在它前面.

HTTP模式为单租入. 一个标志的 team_id 已核实,但未用于 独立数据:每个认证客户端共享一个数据库,一个代理内存 和一套决定,以及 project_path 允许任何认证客户端扫描 服务器可以读取的主机上的任何目录。 每个团队运行一个服务器(或 信任边界),只有客户后,你才会给予该权限.

CLI 参考

npx @4da/mcp-server              # Start server (stdio)
npx @4da/mcp-server --http       # Start server (Streamable HTTP)
npx @4da/mcp-server --setup      # Auto-configure your editors
npx @4da/mcp-server --doctor     # Verify installation health
npx @4da/mcp-server --version    # Print version

环境变量

财务问题

这能把我的密码传出去吗? 没有。 服务器向公共API发送软件包名称和版本(OSV.dev (英语), npm 注册簿, barkers.io, PyPI, Go 代理服务器, 从软件包自己的注册簿下载目标版本的存档 upgrade_impact (并读取 GitHub 发布注释,前提是您设定 FOURDA_GITHUB_CHANGELOG=true)),并且,只有当你打电话 ecosystem_pulse,将一些依赖性名称作为搜索术语发送给 阿尔戈利亚。没有源代码,没有文件路径,没有个人数据:呼叫站点扫描在本地运行. 设定 FOURDA_OFFLINE=true 以禁用所有网络呼叫。 (唯一的例外是OpenAI嵌入——见上文网络注释. )

我需要4DA桌面应用程序吗? 第11个工具独立工作:升级影响、安装前依赖性检查、脆弱性扫描、依赖性健康、升级规划、生态系统新闻、任务前简报、项目背景、决策记忆、调整检查和代理存储。 桌面应用程序是同一引擎每天运行的地方:机器上每个项目都有一个工作列表,一个你堆栈变化的晨报,以及一个升级计划. 安装后,你的代理商还得到了另外5个工具:信号,知识缺口,根据你的堆栈判断的开发者新闻,开发者DNA和反馈.

人工智能能用到哪些工具? 任何支持的工具 MCP 磁共振: Claude Code, Claude Desktop, Cursor, Windsurf, VS Code (Copilot),以及任何自定义的MCP客户端.

从源创建

git clone https://github.com/4DA-Systems/4da-mcp-server.git
cd 4da-mcp-server
pnpm install
pnpm build
pnpm test    # offline

许可证

Apache 许可证 2.0 (Apache-2.0) (中文(简体) ). 见 自由主义。 。 。 .

由 4DA 数据