nittim MCP Server已验证已精选

什么是 nittim MCP Server？

nittim MCP Server 是 nittim 的托管 MCP 端点。nittim 是面向 AI 编写代码的安全审计服务：你的编程助手可以免费扫描仓库或提交的文件，查找已提交的密钥和存在已知漏洞的依赖，然后运行付费审计，获得结论、问题清单以及每个问题的修复方法。

nittim 运行在 https://nittim.com/api/mcp，使用 Streamable HTTP。免费工具无需账号或密钥。付费工具总是先报价，在账号所有者通过一次性链接确认之前不会扣费。GitHub 仓库 ilanwolberger/nittim-mcp 只包含收录清单文件、一个 Claude Code 插件和 nittim-loop skill；服务器本身由 nittim 运营。

如何使用 nittim MCP Server？

无需安装。连接端点后直接让助手扫描即可。免费工具（scan_source、list_modules、estimate_audit、get_loop）可立即使用。付费审计需要在 nittim.com/keys 生成 API 密钥，明文只显示一次。nittim 建议把密钥放在用户级配置中，不要放进会被提交的项目 .mcp.json。无法通过 OAuth 登录的客户端可以使用 mint_key 工具，它返回一个短期一次性领取链接（不会返回密钥本身）。

Claude Code

claude mcp add --transport http nittim https://nittim.com/api/mcp

也可以作为插件安装，同时会添加 nittim-loop skill：

/plugin marketplace add ilanwolberger/nittim-mcp
/plugin install nittim@nittim

Claude Code 的 auto mode 会拒绝它认为可能花钱的工具，即使是付费工具第一次只报价的调用。nittim 的 README 建议在 ~/.claude/settings.json 或 .claude/settings.json 中允许该服务器：

{ "permissions": { "allow": ["mcp__nittim"] } }

Claude Desktop / claude.ai

打开 Settings → Connectors → Add custom connector，粘贴 https://nittim.com/api/mcp。

Cursor

使用 README 中的「Add to Cursor」按钮，或在 mcp.json 中添加：

{
  "mcpServers": {
    "nittim": {
      "url": "https://nittim.com/api/mcp"
    }
  }
}

VS Code

使用「Install in VS Code」按钮，或添加到 .vscode/mcp.json：

{
  "servers": {
    "nittim": {
      "type": "http",
      "url": "https://nittim.com/api/mcp"
    }
  }
}

Windsurf

nittim 的文档把配置写在 mcp_config.json（通常位于 ~/.codeium/windsurf/mcp_config.json），地址字段名为 serverUrl：

{
  "mcpServers": {
    "nittim": {
      "serverUrl": "https://nittim.com/api/mcp"
    }
  }
}

nittim MCP Server 的主要功能

• 免费的确定性扫描：对提交的源文件检查已提交的密钥和已知 CVE（OSV 依赖检查），无需账号、无需密钥、不限次数。只返回证据，从不给出评分或结论。
• 带结论的付费 AI 审计：结论分为 Production Ready、Production Ready with Conditions、High Risk 或 Not Safe，并给出安全、隐私、可靠性和架构方面的问题，每个问题都附带修复方法。
• 先报价再付费：estimate_audit 根据仓库或文件路径与大小清单给出档位、扫描轮数和准确价格，不上传任何内容。
• 所有者确认：付费调用分三步（报价、确认链接、执行），只有账号所有者点击 Confirm 后才会扣费。
• 修复验证：verify_fix 针对当前代码重新检查某个问题，回答已修复、仍存在或无法确定。
• 免费自查循环：get_loop 返回 nittim 的公开检查清单，让助手用你自己的模型审查代码，不向 nittim 发送任何内容。

nittim MCP Server 工具

该服务器提供 15 个工具。

• 免费扫描与报价：scan_source（对提交的文件检查密钥和 CVE）、list_modules（列出每项检查及其 key、档位和说明）、estimate_audit（准确报价，不扣费）和 get_loop（自查清单）。
• 付费审计：audit_repo 审计 GitHub 仓库，是唯一返回评分和结论的工具（fullScan: true 购买范围更广的 Full Audit 档位）；audit_source 审计没有 GitHub 远程仓库的项目所提交的源文件；run_module 单独运行一个模块（secret-scan 和 dependency-cve 模块免费）；judge_output 用跨厂商的评审模型检查任意文本，只返回问题。
• 结果与跟进：get_audit 按 ID 获取任意阶段的审计，verify_fix 重新检查问题，dispute_finding 记录某个问题是误报还是属实，供所有者分拣。
• 账号与协议：mint_key、preview_upload（提前批准文件清单）、report_loop（发送匿名的 Nittim Loop 统计，可获得积分奖励）和 describe_protocol（说明报价、扣费、档位和申诉的规则）。

nittim MCP Server 的使用场景

• 发布前密钥检查：“Scan this repo with nittim for committed secrets and vulnerable dependencies.”
• 用自己的模型自查：“Run nittim's get_loop and review this repo against it.”
• 审计预算：“Estimate what a nittim Full Audit of this repository would cost.”
• 智能体修复循环：运行审计，修复最重要的问题，再对每个问题调用 verify_fix。

nittim MCP Server 常见问题排查

• auto mode 阻止工具：把 mcp__nittim（或 mcp__<你的名称>）加入 permissions.allow；免费工具不需要这条规则。
• 免费工具出现登录提示：在服务器配置中添加请求头 x-nittim-auth: none。
• 返回「NEEDS A KEY」：付费工具以及 verify_fix、dispute_finding、report_loop、preview_upload 都需要在 nittim.com/keys 生成的密钥。