用途：对 harness 声明的 MCP 接口面做静态安全分析，枚举每个声明的 MCP 服务器与工具，标记策略、权限和依赖类问题；不执行任何工具，属纯静态分析。
实现：脚本位于 scripts/mcp-scan.mjs。调用固定版本的 harness 二进制（metaharness@~0.4.1，从本地安装或一次性缓存 ~/.ruflo/metaharness-cache-<pin> 解析，不使用 @latest）：harness mcp-scan <path> --json。
输出与配置：解析 findings[]，字段为 { severity, id, server, tool, message }。--fail-on <severity> 指定退出阈值，默认 high；严重性排序 low=1、medium=2、high=3，因此 --fail-on high 仅在 HIGH 失败，medium 时 MEDIUM 及以上失败，low 时任何发现都失败。输出可为 JSON（默认）或 markdown 表格。
CI 集成示例：
- name: MCP static scan run: node plugins/ruflo-metaharness/scripts/mcp-scan.mjs --fail-on high
退出码是 CI 唯一关注点，JSON 输出可归档供人工审查。
降级行为：当 harness 二进制不可用（无网络、registry 被阻断）时，输出结构化 { degraded: true, reason: 'metaharness-not-available' } 并以 0 退出，Ruflo 继续运行（ADR-150 架构约束）。
限制：官方资料未提供更多边界条件、支持平台或性能说明，暂未提供。