⚠️ 仅供安全研究使用 · 嗅探 / 审计行为需在授权环境执行 · 严禁用于未授权测试
它不是 Burp 替代品，而是把前端安全能力包成 MCP 工具
传统前端安全工具是 GUI：Burp / Wappalyzer 切来切去。Luvv-MCP 把 5 个核心能力（嗅探 / 指纹 / 泄露 / 漏洞审计 / 资产采集）包成 MCP 工具，让 AI 直接调用。你不再需要切 GUI，直接对 AI 说"看看 example.com 用了什么"。
- 7,183 嗅探规则 + 11,596 指纹规则 + 60+ 泄露检测
- 接入 Claude Code / Cursor / 任何支持 MCP 的客户端，AI 直接调用
- 不需要切到 Burp / Wappalyzer 之类的 GUI — 直接对 AI 说 "看看 example.com 用了什么"
它是什么
Luvv-MCP 是面向 AI agent 的前端安全分析引擎，把站点嗅探、泄露扫描、漏洞审计、指纹识别、资产采集这 5 个能力包成 Model Context Protocol 工具。
接入 Claude Code / Cursor / 任何支持 MCP 的客户端后，你不再需要切换到 Burp/Wappalyzer 之类的 GUI——直接对 AI 说：
"看看 example.com 用了什么技术栈"
"扫描这段 JS 有没有泄露密钥"
"审计 target.com 的前端安全漏洞"
AI 会自己选工具、自己拼参数、自己汇总报告。5 个工具覆盖前端安全的"识别 → 采集 → 审计 → 报告"完整链路。
跟传统前端扫描器相比
✨ 五个 MCP 工具
推荐组合：site_sniff → collect_assets → vuln_audit → leak_scan —— AI 知道这个套路，你也可以自己改。
🚀 快速开始
1. 安装
git clone https://github.com/Dest1ny-Sec/Luvv-MCP.git
cd Luvv-MCP
npm install
# 可选：装 Playwright（需要浏览器的工具才用得到）
npm install playwright && npx playwright install chromium
2. 接入 Claude Code
在 ~/.claude.json 的 mcpServers 中添加：
"luvv-mcp": {
"command": "node",
"args": ["/path/to/Luvv-MCP/src/index.js"]
}
重启 Claude Code。MCP 面板会显示 luvv-mcp · connected · 5 tools。
3. 接入 Cursor / 其他 MCP 客户端
只要支持 stdio MCP 协议，按各自文档加配置即可。Luvv-MCP 用的是官方 @modelcontextprotocol/sdk，兼容性最广。
4. 用
直接对 AI 说：
🏗 架构
┌─────────────────────┐
│ Claude Code / MCP │
│ 客户端 │
└──────────┬──────────┘
│ stdio JSON-RPC
┌──────────▼──────────┐
│ Luvv-MCP │ ← Node.js 进程（MCP server）
│ src/index.js │
└──────────┬──────────┘
│
┌──────┼──────┬──────────────┐
│ │ │ │
┌───▼──┐ ┌─▼───┐ ┌▼────────┐ ┌──▼──────────┐
│sniff │ │leak │ │fingerprint│ │collect_assets│
│7,183 │ │60+ │ │11,596 │ │ (Playwright) │
│规则 │ │规则 │ │规则 │ │ │
└──────┘ └─────┘ └─────────┘ └──────────────┘
3 个核心引擎（同步纯 JS 跑，毫秒级响应）+ 1 个浏览器采集器（按需加载 Playwright）。
- 安全边界：10MB 单文件上限防 OOM、4MB JSON 输出上限防客户端卡死、SSRF 默认拒绝内网 IP
- 正则性能：所有 sniff/leak 规则在 init 阶段预编译 + ReDoS 超时保护（单条规则 100ms 上限）
- 浏览器管理：单例 Chromium，30s 空闲自动关闭，4xx/5xx 错误缓存复用
🛠 开发
npm start # 启动 MCP server
npm test # 跑 27 个单测 (node --test)
node -e "import('./src/index.js')" # 验证模块加载
调试技巧：在 src/index.js 顶部加 process.stderr.write('debug...')——MCP 通过 stdio 通信，stderr 不会被客户端解析，会原样打到终端。
新增规则：
- 嗅探规则 →
src/rules/sniff-rules.js - 泄露规则 →
src/rules/leak-rules.js - 指纹规则 →
src/rules/fingerprint-rules.js（如已存在）
每条规则形如 { id, pattern, meta, severity }，id 必须在全文件内唯一。
🧰 栈
依赖 · @modelcontextprotocol/sdk (MCP 协议) · playwright (可选，浏览器采集)
🤝 致谢
检测引擎移植自 AegisScope，感谢原作者 农夫三拳。
本项目的 7,183 / 11,596 / 60+ 规则全部继承自 AegisScope 的脱敏检测引擎，剥离了 UI 层、包装了 MCP 协议层。
📜 License
MIT — 自由使用，欢迎二次开发。