Auditra

官方

用于WordPress插件审计的MCP服务器

GitHub试用此 MCP赞助

你可以用 Auditra MCP 做什么？

  • 评估插件漏洞 — 询问“我的哪些插件存在漏洞？”并通过 MCP 服务器基于实时 WPVulnerability 数据获得答案。
  • 识别选项表膨胀 — 询问是什么导致你的 wp_options 表膨胀，并获得带有置信度级别的归属到对应插件的信息。
  • 发现孤立插件数据 — 询问已删除插件留下了什么，服务器会将遗留的选项、表和钩子映射回其原始所有者。
  • 盘点插件资产 — 询问一次响应中即可获得包含站点上下文、自动加载选项、定时任务和数据库表详细信息的完整插件清单。
  • 检查插件生命周期支持 — 询问你的插件的 PHP、MySQL 或 MariaDB 要求是否仍受支持，使用内置的生命周期数据。

文档

Auditra

一个 WordPress 插件，可将安装它的站点变成只读的 MCP 服务器，使任何支持 MCP 的 AI 客户端（Claude 自定义连接器等）都能用自然语言检查和推理该站点的插件资产。

可以问“我的哪些插件存在漏洞？”、“是什么让我的 options 表变得臃肿？”或“已删除的插件留下了什么？”——并获得基于站点实际状态的答案。

工作原理

一个插件内包含三层架构、一条 REST 路由，无运行时依赖：

  • 传输层 — POST /wp-json/auditra/v1/mcp/{token} 通过 JSON-RPC 2.0 使用 MCP 协议（纯 JSON 响应，无状态）。两种协议代际均受支持，按请求决定：修订版 2026-07-28（每请求元数据、server/discover、Mcp-* 标头验证）以及 initialize 握手的修订版 2025-11-25 / 2025-06-18 / 2025-03-26。路径内令牌认证位于可替换接口之后，支持 Origin 验证、速率限制和失败认证日志记录。
  • 采集器 — 直接读取 WordPress：清单、站点上下文、自动加载的选项、cron、数据库表、内容功能使用情况，以及一个三层归属引擎，可将选项/表/钩子映射回所属插件，并带有明确的置信度级别（high = 精选，medium = 派生，或可见的未归属）。
  • 增强层 — 两个外部服务，wordpress.org 和 WPVulnerability，均无需密钥、均有缓存、均静默降级，并带有按来源的覆盖报告和失败时的渐进退避（15 分钟 → 24 小时）。PHP、MySQL 和 MariaDB 的支持生命周期日期完全不会获取：它们随 includes/data/lifecycle.json 一起发布，根据各供应商公布的策略编译而成。

九个工具；每个响应都携带 _meta（总数、截断、来源不可用、时间戳），并保持在 20 KB 预算内。服务器报告事实，而非结论——评分和建议被刻意省略，因为那是 AI 客户端的工作。完整的设计记录位于 docs/DECISIONS.md。

连接到 AI 客户端

  1. 在 wp-admin 中进入 工具 → Auditra：启用端点、生成令牌、复制连接 URL。
  2. 在 Claude 中：设置 → 连接器 → 添加自定义连接器，粘贴 URL（必须是 https://）。
  3. 提问。从“你能告诉我这个站点的插件情况吗？”开始。

站点必须可通过 HTTPS 公开访问，并启用固定链接。使用修订版 2026-07-28 的客户端会在 tools/list 上获得 24 小时的新鲜度提示，因此插件更新添加的工具会在一天内自行出现；较旧的修订版没有过期信号，因此更新后请重新连接连接器以获取新工具。

贡献

最简单且真正有用的贡献是针对 includes/data/prefix-overrides.json 的拉取请求——这是从插件 slug 到它们实际使用的选项/表前缀的精选映射（Contact Form 7 → wpcf7_）。每个条目都能提高所有用户的归属准确性。参见 CONTRIBUTING.md。

开发

composer install   # dev-only: PHPCS + WordPress Coding Standards (pinned)
composer lint
php tests/mcp-client.php https://example.com/wp-json/auditra/v1/mcp/{token}

tests/mcp-client.php 是 CLI 测试工具，可在没有 AI 客户端参与的情况下测试端点；tests/seed-conditions.sh 构建一个故意混乱的测试站点（teardown-conditions.sh 可精确还原）。CI 运行 PHP lint 矩阵（7.4–8.4）、PHPCS 以及一个 grep 门禁，如果插件代码中出现任何写操作，构建将失败。

安全

支持的版本以及如何私下报告漏洞，请参见 SECURITY.md。

许可证

GPL-2.0-or-later。