TL, DR
@szc-ft/mcp-szcd-client dia mpanjifa Model Context Protocol (MCP) navoaka tao amin'ny npm izay manamboatra ho azy ireo mpanampy amin'ny kaody AI — karazana fonosana lakaoly apetraky ny mpamorona rindrambaiko mba hahafahan'ny agent IDE miresaka amin'ny serivisy tranomboky singa. Manana tantara lava sy toa mahazatra izy io (Dikan 71) ary dingana fametrahana tsy manimba. Tsy misy zavatra mikasika ny fahazoan-dàlana aorian'ny fametrahana azy.
Ny fihetsika mamaky fahazoan-dalana dia miaina lalindalina kokoa, ao anatin'ny fahaiza-manao MCP mitambatra antsoina hoe local-browser-testRehefa vita io fahaiza-manao io connect() mihazakazaka mahazatra, miantso izany _decryptCredentials() — izay mamaha ny olana ny tenimiafina voatahiry rehetra ao amin'ny piraofilina Chrome/Edge eo an-toerana (ny tranonkala rehetra, fa tsy ny fampiharana tokana izay kendren'ny fitsapana navigateur) amin'ny fampiasana ny Windows Data Protection API (DPAPI) sy AES-256-GCM. Ny andiany voavaha dia nosoratana amin'ny lahatsoratra tsotra mba ~/.szcd-mcp/deps/decrypted-creds.json ary naverina tao anatin'ny valin'ny fitaovan'ny MCP an'ny fahaiza-manao, izay mikoriana mankany amin'ny mpizara MCP lavitra mahazatra an'ny fonosana, mcp.szcd-mcp.top.
Ity misy lamina ao amin'ny rojo famatsiana mendrika ny homena anarana: tsy ao anatin'ny "install hook" ny fahafaha-manao saro-pady (izay toerana itodihan'ny ankamaroan'ny scanner sy mpandinika) fa amin'ny fahaiza-manao MCP izay tsy miasa raha tsy rehefa manondro ny fitaovana amin'ny navigateur miasa azy ny mpandraharaha iray. Antsoinay hoe SkillLeakManasokajy ny MEW @szc-ft/mcp-szcd-client (versions 0.38.0 sy 0.39.0) toy ny ratsy fanahy.
Fanamarihana momba ny fe-potoana — Fahaizana MCP: andiana toromarika sy script mpanampy mitokana izay asehon'ny mpizara MCP amin'ny mpandraharaha AI ho toy ny fahaiza-manao azo antsoina. Miantso azy io toy ny fitaovana ny mpandraharaha; miasa amin'ny milina mpamorona ny script.
Fanafihana Anatomy
Maneho endrika roa samy hafa be ilay fonosana.
Ny endrika hitan'ny mpandinika voalohany no lalan'ny fametrahana. Ny manifest dia manambara aorian'ny fametrahana: script node/postinstall.js, ary io script io dia manao izay lazain'ny README: mifandray amin'ny tariby izy MCP fampidirana ao anaty IDE ary mametraka fonosana iray kambana, @szc-ft/sketch-mcp-serverTsy tonga any amin'ny kaody fanamarinana mihitsy izy io. Scanner izay mijanona rehefa mametraka hooks — toerana nahitana famantarana avo indrindra ara-tantara — ahitana fitaovana mpamorona rindrambaiko madio sy tsy dia miavaka loatra. Raha ny marina dia efa nojerena ho azo antoka ity fonosana ity tamin'ny famerenana natao teo aloha.
Ny endrika izay manan-danja dia tratrarina amin'ny alalan'ny fahaiza-manao mifamatotra ihany. Ny rojo:
- Mpandrindra iray no mitantana ny fitsapana-navigateur-eo-an-toerana skill manohitra ny Chrome/Edge instance dia natombok'izy ireo tamin'ny port remote-debugging. Ity no fomba voarakitra an-tsoratra hampiasana ny skill.
- Ny fahaiza-manao mampifandray () (lib/browser-engine.js) antso _decryptCredentials() eo amin'ny andalana 246.
- _decryptCredentials() antso esory ny tenimiafina rehetra({ sivana: '%' }). The '%' Ny sivana dia ny antsipiriany izay mamadika ny fahafahan'ny fitsapana ho vokatra azo avy amin'ny vokatra: mifanaraka amin'ny loharano voatahiry rehetra izy io fa tsy ny toerana tokana andramana.
- lib/decrypt-passwords.js mamaky ny navigateur os_crypt lakile voaaro, miasa powershell … ProtectedData::Atsaharo ny fiarovana (DPAPI) mba hamerenana ny lakilen'ny AES, avy eo dia mamaky ny tenimiafina voatahiry tsirairay ny AES-256-GCM.
- Ny andiany feno voavaha dia nosoratana ho an'ny ~/.szcd-mcp/deps/decrypted-creds.json amin'ny lahatsoratra mazava ary averina ho toy ny fahaiza-manao Fitaovana MCP valiny.
- Io vokatra io dia miverina amin'ny alàlan'ny fantsona MCP mankany amin'ny mpizara mahazatra an'ny fonosana, mcp.szcd-mcp.top — ilay mpampiantrano mitovy voarakitra ao amin'ny README sy ao amin'ny scripts/lib/common.js.
Fanamarihana fohy momba ny antony mahatonga ny dingana faha-4 hiasa. Amin'ny Windows, ny Chrome sy Edge dia tsy mitahiry tenimiafina voatahiry amin'ny lahatsoratra tsotra: ny fahazoan-dàlana tsirairay dia voaaro amin'ny lakile AES-256-GCM, ary io lakile io dia voaisy tombo-kase amin'ny DPAPI, izay mampifandray azy amin'ny kaontin'ny mpampiasa ankehitriny. Noho izany dia mila dingana roa ny famerenana ny tenimiafina - voalohany ProtectedData::Aza arovana mba hamerenana ny lakilen'ny AES (izay mahomby satria miasa toy ny mpampiasa miditra ny kaody, izay tena mifanaraka amin'ny toe-javatra omen'ny terminal-n'ny mpamorona), dia misy GCM mamaha ny blob voatahiry tsirairay vakiana avy amin'ny navigateur os_cryptFivarotana voaaro. Azo tsara ity, ivelan'ny aterineto, ary mangina: tsy misy fangatahana tenimiafina lehibe, tsy misy fifandraisana amin'ny navigateur, tsy misy tambajotra mandroso sy miverina mandra-pandefasana ny valiny. Mitovy amin'ny fomba tsotra ampiasain'ny mpangalatra fampahalalana momba ny entana maro izany — ny zava-baovao eto dia ny fonosana izay mitondra azy fotsiny.
Tsy kisendrasendra ny decryptorAmpiarahina intelo izy io — eo ambanin'ny standard-fahaizana/, fanitarana-kaody-open/, ary qwen-extension/ — dika mitovy iray isaky ny sehatra AI-assistant tohana, ka miaraka amin'izay mpanampy nampifandraisin'ny mpamorona tariby no ahafahana mampiasa azy.
Ny mifanohitra amin'ny fitsapana mandeha ho azy amin'ny navigateur ara-dalànalogin no tantara manontolo. Ny mpanampy fitsapana tena izy dia mamaha ny fahazoan-dàlana ho an'ny iray fampiharana izany dia exercising, mampiasa azy mandritra ny fizotrany, ary tsy maharitra na mandefa azy mihitsy. Eto ny routine dia mamaha ny olana rehetra, manoratra izany amin'ny kapila mafy, ary mamerina izany manerana ny sisin'ny tambajotra mankany amin'ny mpizara lavitra.
Fe-potoana & Mpanentana
Fitondran-tena roa no zava-dehibe mba hahatakarana ny fiparitahana.
Fidio izay tianao horaisina fa tsy mandeha ho azy. Tsy mamaky ny fahazoan-dàlana ny fametrahana ny fonosana. Ny famaha ny olana dia miasa rehefa miantso mavitrika ny fitsapana-navigateur-eo-an-toerana fahaiza-manao manohitra ny navigateur natombok'izy ireo tamin'ny fomba fanesorana lavitra. Izany dia mampihena be ny olona voakasik'izany raha oharina amin'ny aorian'ny fametrahana entana izay mirehitra amin'ny tsirairay npm install.
Efa masaka tsara ny fonosana fa tsy ariana. Nandefa dikan-teny 71 ny mpamoaka ary mitazona endrika mivelatra kokoa @szc-ft component-library MCP suite. Ny credential decryptor dia hita amin'ny dikan-teny roa misy marika (0.38.0 sy 0.39.0) miaraka amin'ny dian-tanana mitovy, antsoina avy amin'ny iray ihany. navigateur-engine.js:246 toerana fidirana. Mbola miasa ao amin'ny npm ny fonosana amin'izao fotoana anoratana izao.
Izany fitambarana izany — mpamoaka efa za-draharaha, dingana fametrahana tsy manimba, ary fahaiza-manao izay miasa raha tsy amin'ny alàlan'ny fomba fiasa manokana — no antony naminanian'ny mpanasokajy mandeha ho azy fa "azo antoka" ary nanaiky ny famerenana teo aloha. Ny fihetsika dia voavaha amin'ny alàlan'ny famakiana tanana ny script mpanampy ny fahaiza-manao.
Famantarana ny fifanarahana
Fanaraha-maso ataon'ny mpiaro Fitaovana MCP tokony hitsaboana ny fahaiza-manao directory ho toy ny ao anatin'ny sehatra, fa tsy ny script manifest sy install fotsiny.
Fitondran-tena voamarika sy ny fanombanana
Fitondran-tena no faritanay fa tsy antony manosika.
Navoaka tao anatin'ny kaonty npm efa miorina miaraka amin'ny fonosana marobe mirindra ny fonosana. @szc-ft MCP suite sy tantara lava momba ny dikan-teny. Tsy misy fantsona baiko sy fanaraha-maso miafina natokana: ny fahazoan-dàlana voavaha dia averina amin'ny alàlan'ny mpizara MCP voarakitra an-tsoratra ao amin'ny fonosana, mcp.szcd-mcp.top, fa tsy amin'ny toerana tsy fantatra anarana. Tena tsara ny dingana fametrahana.
Ny zavatra manova ity avy amin'ny "endri-javatra manamora ny fampiasana" ho amin'ny fanasokajiana ratsy dia ny fitambaran'ny sehatra sy ny toerana aleha hita maso: ny fomba fanao dia mamaha ny olana. rehetra fahazoan-dàlana voatahiry ao amin'ny navigateur fa tsy ilay fampiharana tokana izay hampiasain'ny fitsapanacise, mitazona azy ireo amin'ny kapila amin'ny endrika lahatsoratra tsotra, ary mandefa azy ireo avy amin'ny mpampiantrano manerana ny fantsona MCP. Fitsapana mandeha ho azy amin'ny navigateurlogin Ny endri-javatra izay mitondra tena toy izany dia tsy azo avahana, raha ny marina, amin'ny fanangonana fahazoan-dalana — ary ny vokany no tsy maintsy eritreretin'ny mpiaro.
Marihinay amim-pahatsorana fa ny antony dia ny fidirana ary efa voafaritra ny mpamoaka; samy voalaza ao amin'ny lisitra etsy ambony ireo fampahalalana roa ireo. Tsy manova ny vokatra azo tsapain-tanana ho an'ny mpamorona izay mampiasa ny fahaiza-manao izy roa ireo: ny tenimiafina voatahiry ho an'ny tranonkala tsirairay ao amin'ny mombamomba ny navigateur-ny dia miala amin'ny rafitra.
Fiantraikany, fironana ary torolàlana ho an'ny mpiaro
Tranga iray fonosana ny SkillLeak, saingy ny sehatra fanaterana ampiasainy no tena zava-dehibe.
Mifanaraka amin'ny fotoana fametrahana ny fiasan'ny rojo famatsiana ao amin'ny indostria: preinstall/aorian'ny fametrahana hooks, famantarana fisafotofotoana-fiankinan-doha, typosquats misy payload ao index.js. Manova ny jeometrika ny MCPAfaka mandefa manifest sy dingana fametrahana madio tanteraka ny fonosana MCP sady mitondra ny fitondran-tenany vokatr'izany ao anatin'ny fahaiza-manao — fonosana antsoin'ny AI agent aty aoriana, araka ny toromariky ny mpamorona, mifanohitra amin'ny loharanon-karenan'ny mpamorona. Miaraka amin'ny fampidirana mpanampy io fahaiza-manao io ary mijanona mandra-pahatonga azy hiasa amin'ny fomba fiasa mahazatra ("mandefa ny fitsapana navigateur").
Ho an'ireo ekipa mampiasa fitaovana MCP:
- Fahaizana manara-maso, fa tsy amin'ny endrika miseho ivelany fotsiny. Hanitatra ny famerenana ny fonosana ho amin'ny fahaiza-manao/, *-fanitarana/, ary ireo lahatahiry mitovy amin'izany. Mety tsy hiseho mihitsy ao amin'ny "install hook" ny kaody saro-pady indrindra.
- Jereo ny fisondrotry ny vidin'ny fitaovana. Fahaiza-manao iray izay mitaky tanjona tery (andramo fampiharana iray) saingy miasa amin'ny ankapobeny (sivana: '%' (amin'ny loharano voatahiry rehetra) dia saina mena tsy miankina amin'ny fikasana.
- Hevero ho toy ny fantsona fivoahana ny valin'ny fitaovan'ny MCP. Ny angona averina avy amin'ny fahaiza-manao iray dia mamela ny mpampiantrano mankany amin'izay mpizara MCP namboarina ho an'ny mpanjifa. Tanisao ireo toerana haleha ireo toy ny fomba hanaovanao fifandraisana ivelany.
- Avereno jerena ireo banga amin'ny dikan-teny ao amin'ny fonosana MCP "azo itokisana". Tsy mahasolo ny famakiana ny kaody izay alefa ao amin'ny dikan-teny tsirairay ny mpamoaka efa za-draharaha sy ny tantaran'ny famoahana lavareny — araka ny asehon'ity tranga ity, izay mamadika ny fanombanana azo antoka teo aloha.
Raha fintinina, fanamarinana telo mora vidy no ho niseho ity fonosana ity talohan'ny nampiasan'ny mpamorona ny fahaiza-manao. Voalohany, fijerena ny votoatin'ny lahatahiry fahaiza-manao ho an'ny fidirana amin'ny fivarotana fahazoan-dàlana eo an-toerana — referansa amin'ny os_crypt, Angon-drakitra Voaaro/DPAPI, na an'ny navigateur Login Data rakitra — manamarika ny fahafaha-manao na inona na inona install hook misy. Faharoa, fanamarinana ny sehatry ny decrypt/read routine izay manaiky wildcard selector (sivana: '%' sy mitovy aminy) fa tsy famantarana voafetra no mahatratra ny fisondrotry ny vokatra andrana hatramin'ny fijinjana. Fahatelo, ny fanavahana ny andiana mpampiantrano azon'ny fonosana tratrarina (eto, mcp.szcd-mcp.top) mifanohitra amin'ireo toerana alehana izay lazain'ny antontan-taratasiny fa ilaina dia mamadika ny fantsona valin'ny MCP ho toerana fivoahana azo henoina. Tsy misy amin'ireo no mitaky ny fampandehanana ny kaody.
Fanalana ny fahazoan-dàlana amin'ny alàlan'ny DPAPI sy os_crypt Teknika efa tranainy izany; ny fanaterana azy amin'ny alàlan'ny fahaiza-manao AI-agent izay miasa amin'ny alàlan'ny workflow opt-in ihany no fonosana vaovao. Antenaina fa hisy lamina capability-in-a-skill bebe kokoa rehefa mihamaro ny fitaovana MCP, ary amboary araka izany ny sehatry ny famerenana.
