Pinner MCP 📍

这是一个模型上下文协议（MCP）服务器，可以帮助将第三方依赖项固定到不可变的哈希值。 支持的依赖类型包括：

• Docker基础镜像
• GitHub Actions

📦 使用方法

作为容器运行，并使用 stdio 传输。

docker run -it --rm ghcr.io/safedep/pinner-mcp:latest

💻 VS Code

在你的工作区中的 .vscode/mcp.json 文件中添加以下内容。你需要安装并启用 GitHub Copilot 扩展。

{
  "servers": {
    "pinner-mcp": {
      "type": "stdio",
      "command": "docker",
      "args": ["run", "--rm", "-i", "ghcr.io/safedep/pinner-mcp:latest"]
    }
  }
}

使用 GitHub Copilot Chat 并输入类似以下提示：

将 GitHub Actions 固定到其提交哈希值

将容器基础镜像固定到其摘要值

要更新固定的版本，可以使用如下提示：

更新容器基础镜像的固定版本

💻 Cursor

在你的 .cursor/mcp.json 文件中添加以下内容。你必须在设置中启用 MCP 服务器。了解更多 这里。

{
  "mcpServers": {
    "pinner-mcp-stdio-server": {
      "command": "docker",
      "args": ["run", "--rm", "-i", "ghcr.io/safedep/pinner-mcp:latest"]
    }
  }
}

使用 Composer 提示如以下内容来固定特定的提交哈希值。

将 GitHub Actions 固定到其提交哈希值

将容器基础镜像固定到其摘要值

要更新固定的版本，可以使用如下提示。

更新容器基础镜像的固定版本

🔄 工具更新

MCP 服务器的更新会自动推送到 GitHub 容器注册表 的 latest 标签。你需要手动更新本地容器镜像到最新版本。

docker pull ghcr.io/safedep/pinner-mcp:latest

🔧 开发

本地构建

对于此项目的本地开发，请本地构建容器镜像：

docker build -t pinner-mcp:local .

此仓库中的 .vscode/mcp.json 和 .cursor/mcp.json 文件配置为使用本地镜像 (pinner-mcp:local) 来开发和测试未发布的更改。

构建完成后，你可以按照上述使用部分所述的方式使用 VS Code 或 Cursor 与 GitHub Copilot。

📚 参考资料

• 最初构建是为了保护 vet 免受恶意 GitHub Actions 的影响
• mcp-go 是一个用于构建 MCP 服务器的好库
• 由 SafeDep 工程团队 构建和维护