dep-diff-mcp

MCP-Server, der einen Lockfile-Diff in einen menschenlesbaren Upgrade-Plan übersetzt.

Verweisen Sie Ihren KI-Assistenten (Cursor, Claude Desktop, Claude Code) auf einen Dependabot-PR, die Ausgabe von npm outdated oder ein beliebiges Paar von Paketversionen und erhalten Sie einen bewerteten Upgrade-Plan: Semver-Klasse, Breaking Changes aus den GitHub-Release-Notes, im Bereich behobene CVEs, Links zu Migrationsleitfäden und eine klare Empfehlung pro Paket.

Installation

Claude Code

Ein Befehl, Benutzerbereich (verfügbar in jedem Projekt):

claude mcp add -s user dep-diff -- npx -y @digicatalyst/dep-diff-mcp

Projektbereich (schreibt .mcp.json im Repository-Stammverzeichnis, teamweit geteilt):

claude mcp add -s project dep-diff -- npx -y @digicatalyst/dep-diff-mcp

Mit einem expliziten Token (überspringen Sie dies, wenn Sie die gh CLI authentifiziert haben — siehe GitHub-Token unten):

claude mcp add -s user --env GITHUB_TOKEN=ghp_xxx dep-diff -- npx -y @digicatalyst/dep-diff-mcp

Überprüfen:

claude mcp list

Starten Sie die Claude Code-Sitzung neu, um den Server zu laden.

Cursor und Claude Desktop

Hinzufügen zur MCP-Client-Konfiguration:

• Cursor: ~/.cursor/mcp.json

• Claude Desktop: ~/Library/Application Support/Claude/claude_desktop_config.json (macOS) oder %APPDATA%\Claude\claude_desktop_config.json (Windows)

{
 "mcpServers": {
 "dep-diff": {
 "command": "npx",
 "args": ["-y", "@digicatalyst/dep-diff-mcp"]
 }
 }
}

Starten Sie Ihren MCP-Client neu. Fragen Sie etwas wie "Was ist riskant an diesem Dependabot-PR?" und die Tools werden automatisch aufgerufen.

Related MCP server: proof-of-commitment

GitHub-Token (optional, aber empfohlen)

Der Server greift auf die GitHub-API zu, um Release-Notes zu lesen. Ohne Token erhalten Sie 60 Anfragen pro Stunde (GitHubs anonymes Limit) — genug für gelegentliche Abfragen einzelner Pakete, aber nicht für die Analyse umfangreicher Lockfiles.

Der Server löst ein Token in dieser Reihenfolge auf:

1. GITHUB_TOKEN Umgebungsvariable, falls gesetzt.

2. gh auth token — wenn die GitHub CLI installiert und authentifiziert ist, verwendet der Server dieses Token automatisch. Keine Konfigurationsänderung erforderlich.

3. Anonym (60 Anfragen/Std.).

Empfohlen: Verwendung der gh CLI

Wenn Sie gh bereits installiert haben (brew install gh && gh auth login), hören Sie hier auf — der Server übernimmt Ihre bestehende Authentifizierung. Kein Klartext-Token erforderlich.

Alternative: Umgebungsvariable

Erstellen Sie ein feingranulares Token unter https://github.com/settings/tokens:

• Token-Name: dep-diff-mcp

• Ablauf: 90 Tage (regelmäßig rotieren)

• Repository-Zugriff: Public Repositories (read-only) — kein Zugriff auf private Repositories

• Berechtigungen: keine über den standardmäßigen öffentlichen Lesezugriff hinaus — gewähren Sie keine repo-, workflow-, user- oder Schreibberechtigungen

Referenzieren Sie es dann in der MCP-Konfiguration:

{
 "mcpServers": {
 "dep-diff": {
 "command": "npx",
 "args": ["-y", "@digicatalyst/dep-diff-mcp"],
 "env": { "GITHUB_TOKEN": "github_pat_xxx" }
 }
 }
}

Sicherheitshinweise

• Diese Konfigurationsdatei liegt im Klartext auf Ihrer Festplatte. Halten Sie die Berechtigungen restriktiv (chmod 600) und fügen Sie das Token nicht in KI-Chats, Issues oder geteilte Bildschirme ein — Transkripte werden oft gespeichert.

• Das Token in dieser Konfiguration sollte das Prinzip der geringsten Rechte verfolgen (nur Lesezugriff auf öffentliche Repositories). Selbst wenn es geleakt wird, kann es nur öffentliche Daten lesen, die Sie ohnehin lesen könnten.

• Rotieren Sie Token regelmäßig. Widerrufen Sie jedes Token, das möglicherweise unter https://github.com/settings/tokens offengelegt wurde.

• Der Server schreibt das Token niemals in stdout/stderr oder die Antwort-Payload.

Tools

analyze_package_change

Analysiert ein Paket-Upgrade. Eingaben: ecosystem (npm oder pypi), name, fromVersion, toVersion.

analyze_packages_bulk

Analysiert bis zu 50 Paket-Upgrades parallel. Gibt Pakete zurück, bewertet nach Risiko (security > caution > review > likely-safe > safe), plus Zusammenfassungszahlen.

Was Sie zurückerhalten

• Semver-Klassifizierung — major / minor / patch / downgrade / unknown

• Breaking Changes — extrahiert aus den Überschriften der GitHub-Release-Notes

• Sicherheitsfixes — CVEs, die in fromVersion vorhanden, aber in toVersion behoben sind (via OSV.dev)

• Migrationslinks — URLs zu Upgrade-Leitfäden, die in den Release-Notes gefunden wurden

• Empfehlung — einzeiliges Urteil + Risikostufe

Unterstützte Ökosysteme

• npm

• PyPI

Entwicklung

npm install
npm run build
GITHUB_TOKEN=ghp_xxx npm run inspect # MCP Inspector

Lizenz

MIT

Maintenance

Resources

• NPM Package
• GitHub Repository
Need Help?Related Servers

Tools

• analyze_package_changeA
• analyze_packages_bulkA