AppScan Model Context Protocol (MCP) 服务器

概述

工具

配置

要使用 AppScan MCP 服务器，请使用您的 HCL AppScan 360° 凭证配置 MCP 客户机（例如，VS Code MCP 扩展或 Claude Desktop）。

VS Code 配置

要将 AppScan 添加到 VS Code 中，请编辑 MCP JSON 配置文件（通常位于 MCP 扩展设置中）。添加服务器定义并配置输入提示以实现安全凭证处理。

将以下内容添加至您的配置中：

{
                "servers": {
                "appscan-mcp": {
                "type": "http",
                "url": "https://cloud.appscan.com/mcp",
                "headers": {
                "X-API-KEY": "${input:appscan_api_key_id}:${input:appscan_api_key_secret}"
                }
                }
                },
                "inputs": [
                {
                "id": "appscan_api_key_id",
                "type": "promptString",
                "description": "AppScan API Key Id",
                "default": ""
                },
                {
                "id": "appscan_api_key_secret",
                "type": "promptString",
                "description": "AppScan API Key Secret",
                "default": "",
                "password": true
                }
                ]
                }
            

最佳实践：使用 appscan-doc 提示

服务器提供了一个名为 appscan-doc 的内置提示。此提示可以将必要的上下文、架构定义和规则加载到 AI 模型的上下文窗口中。它介绍了如何构建 OData 查询、正确处理 GUID（例如，不带引号）以及对结果进行分页。

在开始分析之前，您必须明确激活此提示。具体方法取决于您的客户机：

VS 代码

在聊天界面中开始键入 /mcp。此时将显示可用提示列表；从列表中选择 appscan-doc。

Windsurf

使用格式 /<mcp-server-name>/<prompt-name> 明确输入命令。

/appscan-mcp/appscan-doc

为什么这很重要？加载后，AI 可以正确查询 API。例如，它使用 enums 的字符串值（如 Status eq 'Open'）而不是数值。

直接代码修复

在 IDE 中使用 AppScan MCP 的一个关键好处是能够将修复方案直接应用于您的代码。

如果在 IDE 工作空间中提供了经过扫描的源代码（通过 SAST、DAST、SCA 或 IAST），则 AI 模型可以将安全结果与本地文件相关联。get_issue_details 工具为 AI 提供确切的文件位置、跟踪信息和补救建议。然后，AI 可以将这些信息映射到您打开的文件，并应用必要的代码更改。

高级工作流程和集成

由于 MCP 是标准协议，因此您可以将 AppScan 服务器与其他 MCP 服务器链接起来，以创建强大的自动化工作流程。

示例：自动化凭单创建 (AppScan + Jira)

如果您同时配置了 AppScan MCP 和 Jira MCP，则可以在单个对话中执行复杂的筛选任务：

用户提示：

“查找‘Retail-Frontend’应用程序中的前 3 个严重问题。对于每个问题，在我们的 Jira 项目‘SEC’中创建一个包含问题描述和补救建议的缺陷凭单。”