dep-diff-mcp

Servidor MCP que traduce una diferencia de archivo de bloqueo (lockfile) en un plan de actualización legible para humanos.

Dirige a tu asistente de IA (Cursor, Claude Desktop, Claude Code) a una solicitud de extracción (PR) de Dependabot, a la salida de npm outdated o a cualquier par de versiones de paquetes, y obtén un plan de actualización clasificado: clase semver, cambios importantes extraídos de las notas de la versión de GitHub, CVEs corregidos en el rango, enlaces a guías de migración y una recomendación clara por paquete.

Instalación

Claude Code

Un comando, alcance de usuario (disponible en cada proyecto):

claude mcp add -s user dep-diff -- npx -y @digicatalyst/dep-diff-mcp

Alcance del proyecto (escribe .mcp.json en la raíz del repositorio, compartido por el equipo):

claude mcp add -s project dep-diff -- npx -y @digicatalyst/dep-diff-mcp

Con un token explícito (omite esto si tienes la CLI de gh autenticada — consulta GitHub token a continuación):

claude mcp add -s user --env GITHUB_TOKEN=ghp_xxx dep-diff -- npx -y @digicatalyst/dep-diff-mcp

Verificar:

claude mcp list

Reinicia la sesión de Claude Code para cargar el servidor.

Cursor y Claude Desktop

Agrégalo a la configuración de tu cliente MCP:

• Cursor: ~/.cursor/mcp.json

• Claude Desktop: ~/Library/Application Support/Claude/claude_desktop_config.json (macOS) o %APPDATA%\Claude\claude_desktop_config.json (Windows)

{
 "mcpServers": {
 "dep-diff": {
 "command": "npx",
 "args": ["-y", "@digicatalyst/dep-diff-mcp"]
 }
 }
}

Reinicia tu cliente MCP. Pregunta algo como "¿qué es arriesgado en esta PR de Dependabot?" y las herramientas se invocarán automáticamente.

Related MCP server: proof-of-commitment

Token de GitHub (opcional pero recomendado)

El servidor accede a la API de GitHub para leer las notas de la versión. Sin un token, obtienes 60 solicitudes por hora (límite anónimo de GitHub), suficiente para consultas ocasionales de un solo paquete, pero no para el análisis masivo de archivos de bloqueo.

El servidor resuelve un token en este orden:

1. Variable de entorno GITHUB_TOKEN, si está configurada.

2. gh auth token — si la CLI de GitHub está instalada y autenticada, el servidor usa ese token automáticamente. No se requiere cambio de configuración.

3. Anónimo (60 req/hora).

Recomendado: usar la CLI gh

Si ya tienes instalado gh (brew install gh && gh auth login), detente aquí: el servidor detectará tu autenticación existente. Sin tokens en texto plano en ninguna parte.

Alternativa: variable de entorno

Crea un token de grano fino en https://github.com/settings/tokens:

• Nombre del token: dep-diff-mcp

• Expiración: 90 días (rótalo periódicamente)

• Acceso al repositorio: Public Repositories (read-only) — sin acceso a repositorios privados

• Permisos: ninguno más allá de la lectura pública predeterminada — no concedas repo, workflow, user ni ningún alcance de escritura

Luego, haz referencia a él en la configuración de MCP:

{
 "mcpServers": {
 "dep-diff": {
 "command": "npx",
 "args": ["-y", "@digicatalyst/dep-diff-mcp"],
 "env": { "GITHUB_TOKEN": "github_pat_xxx" }
 }
 }
}

Notas de seguridad

• Este archivo de configuración reside en tu disco en texto plano. Mantén los permisos restringidos (chmod 600) y no pegues el token en chats de IA, problemas o pantallas compartidas — las transcripciones a menudo se conservan.

• El token en esta configuración debe tener el mínimo privilegio (solo lectura de repositorios públicos). Incluso si se filtra, solo puede leer datos públicos que ya podrías leer.

• Rota los tokens periódicamente. Revoca cualquier token que pueda haber quedado expuesto en https://github.com/settings/tokens.

• El servidor nunca escribe el token en stdout/stderr ni en la carga útil de respuesta.

Herramientas

analyze_package_change

Analiza una actualización de paquete. Entradas: ecosystem (npm o pypi), name, fromVersion, toVersion.

analyze_packages_bulk

Analiza hasta 50 actualizaciones de paquetes en paralelo. Devuelve los paquetes clasificados por riesgo (security > caution > review > likely-safe > safe), además de conteos resumidos.

Qué obtienes a cambio

• Clasificación Semver — mayor / menor / parche / degradación / desconocido

• Cambios importantes — extraídos de los encabezados de las notas de la versión de GitHub

• Correcciones de seguridad — CVEs presentes en fromVersion pero resueltos en toVersion (a través de OSV.dev)

• Enlaces de migración — URLs de guías de actualización encontradas en las notas de la versión

• Recomendación — veredicto de una línea + nivel

Ecosistemas compatibles

• npm

• PyPI

Desarrollo

npm install
npm run build
GITHUB_TOKEN=ghp_xxx npm run inspect # MCP Inspector

Licencia

MIT

Maintenance

Resources

• NPM Package
• GitHub Repository
Need Help?Related Servers

Tools

• analyze_package_changeA
• analyze_packages_bulkA