dep-diff-mcp

MCP-сервер, который преобразует diff lock-файла в понятный человеку план обновления.

Укажите своему ИИ-ассистенту (Cursor, Claude Desktop, Claude Code) на PR от Dependabot, вывод npm outdated или любую пару версий пакетов, и получите ранжированный план обновления: класс semver, критические изменения из примечаний к выпуску GitHub, исправленные CVE, ссылки на руководства по миграции и четкую рекомендацию по каждому пакету.

Установка

Claude Code

Одна команда, область пользователя (доступно в каждом проекте):

claude mcp add -s user dep-diff -- npx -y @digicatalyst/dep-diff-mcp

Область проекта (создает .mcp.json в корне репозитория, общий для команды):

claude mcp add -s project dep-diff -- npx -y @digicatalyst/dep-diff-mcp

С явным токеном (пропустите это, если у вас аутентифицирован CLI gh — см. GitHub token ниже):

claude mcp add -s user --env GITHUB_TOKEN=ghp_xxx dep-diff -- npx -y @digicatalyst/dep-diff-mcp

Проверка:

claude mcp list

Перезапустите сессию Claude Code, чтобы подхватить сервер.

Cursor и Claude Desktop

Добавьте в конфигурацию вашего MCP-клиента:

• Cursor: ~/.cursor/mcp.json

• Claude Desktop: ~/Library/Application Support/Claude/claude_desktop_config.json (macOS) или %APPDATA%\Claude\claude_desktop_config.json (Windows)

{
 "mcpServers": {
 "dep-diff": {
 "command": "npx",
 "args": ["-y", "@digicatalyst/dep-diff-mcp"]
 }
 }
}

Перезапустите ваш MCP-клиент. Спросите что-то вроде "what's risky in this Dependabot PR?", и инструменты будут вызваны автоматически.

Related MCP server: proof-of-commitment

Токен GitHub (необязательно, но рекомендуется)

Сервер обращается к API GitHub для чтения примечаний к выпуску. Без токена вы получаете 60 запросов в час (анонимный лимит GitHub) — этого достаточно для редких запросов по одному пакету, но недостаточно для пакетного анализа lock-файла.

Сервер определяет токен в следующем порядке:

1. Переменная окружения GITHUB_TOKEN, если установлена.

2. gh auth token — если установлен и аутентифицирован GitHub CLI, сервер автоматически использует этот токен. Изменение конфигурации не требуется.

3. Анонимно (60 запросов в час).

Рекомендуется: использование CLI gh

Если у вас уже установлен gh (brew install gh && gh auth login), остановитесь на этом — сервер подхватит вашу существующую аутентификацию. Никаких токенов в открытом виде.

Альтернатива: переменная окружения

Создайте fine-grained токен на странице https://github.com/settings/tokens:

• Имя токена: dep-diff-mcp

• Срок действия: 90 дней (периодически обновляйте)

• Доступ к репозиториям: Public Repositories (read-only) — без доступа к приватным репозиториям

• Разрешения: никаких, кроме стандартного чтения публичных данных — не предоставляйте repo, workflow, user или любые права на запись

Затем укажите его в конфигурации MCP:

{
 "mcpServers": {
 "dep-diff": {
 "command": "npx",
 "args": ["-y", "@digicatalyst/dep-diff-mcp"],
 "env": { "GITHUB_TOKEN": "github_pat_xxx" }
 }
 }
}

Заметки по безопасности

• Этот файл конфигурации хранится на вашем диске в открытом виде. Установите строгие права доступа (chmod 600) и не вставляйте токен в чаты с ИИ, тикеты или на общие экраны — транскрипты часто сохраняются.

• Токен в этой конфигурации должен иметь минимально необходимые права (только чтение публичных репозиториев). Даже в случае утечки, он может читать только те публичные данные, которые вы и так могли прочитать.

• Периодически обновляйте токены. Отозвите любой токен, который мог быть скомпрометирован, на странице https://github.com/settings/tokens.

• Сервер никогда не записывает токен в stdout/stderr или тело ответа.

Инструменты

analyze_package_change

Анализ обновления одного пакета. Входные данные: ecosystem (npm или pypi), name, fromVersion, toVersion.

analyze_packages_bulk

Параллельный анализ до 50 обновлений пакетов. Возвращает пакеты, ранжированные по риску (security > caution > review > likely-safe > safe), плюс сводное количество.

Что вы получаете в результате

• Классификация Semver — major / minor / patch / downgrade / unknown

• Критические изменения — извлечены из заголовков примечаний к выпуску GitHub

• Исправления безопасности — CVE, присутствующие в fromVersion, но исправленные в toVersion (через OSV.dev)

• Ссылки на миграцию — URL-адреса руководств по обновлению, найденные в примечаниях к выпуску

• Рекомендация — вердикт в одну строку + уровень

Поддерживаемые экосистемы

• npm

• PyPI

Разработка

npm install
npm run build
GITHUB_TOKEN=ghp_xxx npm run inspect # MCP Inspector

Лицензия

MIT

Maintenance

Resources

• NPM Package
• GitHub Repository
Need Help?Related Servers

Tools

• analyze_package_changeA
• analyze_packages_bulkA