内容
# x402-triage-mcp
[](https://github.com/TateLyman/x402-triage-mcp/actions/workflows/ci.yml)
无支付 x402 表面紧急处理服务器，402 索引健康检查，以及付费审查交接。
它公开了三个 MCP 工具：
- `triage_x402_surface` 通过 Tate Programs 公共紧急处理 API 检查一个公共 x402、MPP、Pay.sh、OpenAPI、清单或 HTTP 402 端点。
- `watch_402_index` 搜索公共 402 索引元数据以获取提供商健康状况、支付有效性和域名验证信号。
- `x402_paid_paths` 返回付费 x402 API 端点、服务目录、AgentCard 和固定范围审查链接。
这些工具不会发送 `X-PAYMENT`、钱包签名、API 密钥、私有凭证或付费调用。
工具页面：https://tateprograms.com/x402-surface-check.html
付费 x402 API 目录：https://tateprograms.com/services.json
AgentCard：https://the402.tateprograms.com/.well-known/agent-card.json
## 安装
使用 `npx` 直接运行：
```bash
npx --yes x402-triage-mcp
```
## MCP 配置
将此服务器添加到支持 stdio 服务器的 MCP 客户端：
```json
{
"mcpServers": {
"x402-triage": {
"command": "npx",
"args": ["--yes", "--package", "x402-triage-mcp", "x402-triage-mcp"]
}
}
}
```
STDIO MCP 客户端配置启动本地命令。在运行生成的配置之前，请检查 `command`、`args` 和任何 `env` 值，并在需要重复性时固定版本。
## 工具
### `triage_x402_surface`
```json
{
"url": "https://api.example.com/.well-known/x402",
"method": "GET",
"origin": "https://app.example.com"
}
```
返回状态、支付标头、解析的挑战摘要、攻击类检查、发现结果和付费交接路径。
### `watch_402_index`
```json
{
"q": "example.com",
"protocol": "x402",
"limit": 10
}
```
返回匹配的公共 402 索引记录、健康摘要、可见的启动阻止器和付费交接路径。
### `x402_paid_paths`
返回：
- `https://the402.tateprograms.com/api/x402/triage`
- `https://the402.tateprograms.com/api/x402/index-watch`
- `https://tateprograms.com/services.json`
- `https://tateprograms.com/x402-five-attack-review.html`
- `https://tateprograms.com/x402-fix-sprint.html`
## 支付和安全边界
仅在您拥有或有权检查的公共启动表面上使用此服务器。不要提交私有 URL、令牌化 URL、客户数据、钱包种子短语或生产机密。
此 MCP 服务器是只读的。它不会发起支付、发送 `X-PAYMENT` 标头、签署钱包消息、调用付费端点、创建发票、结算余额或授予购买权限。它返回的唯一付费路径是静态 Tate Programs 交接 URL，供选择购买单独审查的团队使用。
对于代理商商业审查，服务器报告目标表面是否公开了买家期望的安全控制措施，然后再启用实际支出：
- 支出限制：每个调用和总预算上限应在代理商可以支付之前明确。
- 审批检查点：支付设置和高风险支出应需要可见的用户或策略审批步骤。
- 收件人验证：付费请求应限制在预期的域名、商家、钱包地址或签名的注册表项中。
- 重放保护：挑战和结算回调应使用随机数、过期时间、幂等键、签名资源或等效控制措施。
- 元数据最小化：支付元数据应避免私有用户上下文、机密和不必要的资源详细信息。
- 收据和审计跟踪：成功的支付应产生交易 ID、收件人、金额、原因和策略证据。
## 开发
```bash
npm install
npm run check
```
