用途：审计 MCP 服务器配置的质量、合规性与安全性，验证 .mcp.json 文件和服务器设置。
主要能力：审计来自多个来源的 MCP 配置，包括项目范围（项目根目录 .mcp.json）、用户/全局范围（~/.claude.json 根级 mcpServers 键）、本地范围（.claude/settings.local.json 的 mcpServers 键，若存在）、插件范围（插件目录内的 .mcp.json）和企业范围（系统目录中的 managed-mcp.json）。对每个配置验证 JSON 结构、服务器字段、传输类型、认证、环境变量使用及安全（不暴露凭据）。
使用方式：命令参数包括无参数（审计所有可发现的 MCP 配置）、project（仅项目根目录 .mcp.json）、user（用户级配置）、all（项目+用户+插件）、--force（无论修改状态都审计）、--skip-validation（跳过发现验证，更快但可能有误报）。流程要求先运行 claude mcp list 获取权威列表，可用 claude mcp get <server-name> 查看详情；随后验证配置文件、解析参数并过滤、展示审计计划、调用 mcp-auditor 子代理并行执行审计，除非使用 --skip-validation，否则调用 audit-finding-validator 验证发现并过滤误报，最后汇总报告。审计结果写入 .claude/audit/mcp.md，可用 /audit-log mcp 查看状态。
限制与注意：MCP 配置不得在版本控制文件中硬编码 API 密钥、令牌或密码，应使用环境变量展开（如 ${API_KEY}）。项目 .mcp.json 中硬编码凭据视为严重失败；用户级 ~/.claude.json 中为警告。有效传输类型为 stdio（本地进程）、http（推荐用于远程）、sse（已弃用）。跨平台：Unix 用户配置为 ~/.claude.json，Windows 为 %USERPROFILE%/.claude.json。
分类：安全与审计（security）。