osv-scanner-mcp 0.7.0 → 0.7.1

package/README.md

@@ -326,7 +326,7 @@ OSV-Scanner 2.4.0の `java/archive` プラグインを使用し、ネストJAR
 - **対応形式**: UTF-8 JSONのCycloneDX 1.4 / 1.5 / 1.6、SPDX 2.2 / 2.3。XML、SPDX tag-value、SPDX 3は未対応です。
 - **入力**: 16MiB以下のローカル通常ファイルの絶対パス。ファイル名は任意で、内容から形式を判別します。CycloneDXは`components`、SPDXは`packages`配列が必要です。形式・主要構造の確認であり、仕様全体のJSON Schema検証ではありません。
 - **識別情報**: CycloneDXの`components[].purl`、SPDXの`packages[].externalRefs`にバージョン付きPackage URLを含めてください。例: `pkg:maven/org.apache.logging.log4j/log4j-core@2.14.1`。詳細は[OSV-Scanner公式ドキュメント](https://github.com/google/osv-scanner/blob/main/docs/scan-source.md)を参照してください。
-- **安全な読み込み**: 許可ルートと読み込み中のサイズ上限を確認し、権限制限付きの一時コピーだけをスキャンします。元ファイルは変更せず、一時コピーは成功・失敗ともに削除します。
+- **安全な読み込み**: 許可ルートと読み込み中のサイズ上限を確認し、権限制限付きの一時コピーだけをスキャンします。元ファイルは変更せず、一時コピーは成功・失敗ともに削除します。スキャン中にサーバーが終了した場合(SIGTERM/SIGINT/SIGHUP、MCPクライアントがstdinを閉じた場合)も、一時コピーを削除し実行中のOSV-Scannerを止めてから終了します。
 
 出力の先頭に`coverage`を返します。
 
@@ -446,7 +446,7 @@ npm・Go・PyPIの「同じ系統」は、npmの `^`(キャレット)が互換
 
 - **サプライチェーン対策**: バイナリの自動ダウンロードは公式GitHub Releasesに限定し、バージョンをピン留め。**パッケージに埋め込まれたSHA256チェックサム**で検証します(配布元のSHA256SUMSファイルは信用しないため、リリース側が改ざんされても検出可能)。検証合格まで実行権限を与えず、キャッシュ済みバイナリも使用のたびに再検証します。`OSV_MCP_PREFER_DOWNLOAD=1` でPATH上の未検証バイナリを使わない運用も選べます
 - **コマンドインジェクション対策**: シェルを経由しない `spawn` + 引数配列で実行。OSV-Scannerへの引数は固定リストのみで、可変部は検証済み絶対パス1つだけ
-- **スナップショット方式(検査と読み込みの不一致の防止)**: OSV-Scannerには元のファイルを一切渡しません。lockfile・`pom.xml`(親POMの連鎖を含む)・JAR/WARは、本サーバーが安全に1回だけ読んだ内容を専用の一時ディレクトリ(所有者のみアクセス可、終了時に削除)へコピーしてスキャンし、検査もそのコピーに対して行います。検査の後で元のファイルやディレクトリを差し替えても結果には影響しません。親POMは元の配置を一時ディレクトリ内に再現してコピーするため、OSV-Scannerが相対パスで親をたどっても、見つかるのは検証してコピーしたファイルだけです(`..` を重ねて一時ディレクトリの外に届く参照は除外)。読み込みは末尾のシンボリックリンクをたどらず、名前付きパイプ等の通常のファイル以外は読まず(処理が止まらない)、読み終えた後にパスを解決し直して境界の内側かつ開いた実体と同じファイルかを確認します。コピーの合計サイズは2GiBまでです(超えると `scan_input_too_large`)
+- **スナップショット方式(検査と読み込みの不一致の防止)**: OSV-Scannerには元のファイルを一切渡しません。lockfile・`pom.xml`(親POMの連鎖を含む)・JAR/WARは、本サーバーが安全に1回だけ読んだ内容を専用の一時ディレクトリ(所有者のみアクセス可、終了時に削除)へコピーしてスキャンし、検査もそのコピーに対して行います。検査の後で元のファイルやディレクトリを差し替えても結果には影響しません。親POMは元の配置を一時ディレクトリ内に再現してコピーするため、OSV-Scannerが相対パスで親をたどっても、見つかるのは検証してコピーしたファイルだけです(`..` を重ねて一時ディレクトリの外に届く参照は除外)。読み込みは末尾のシンボリックリンクをたどらず、名前付きパイプ等の通常のファイル以外は読まず(処理が止まらない)、読み終えた後にパスを解決し直して境界の内側かつ開いた実体と同じファイルかを確認します。コピーの合計サイズは2GiBまでです(超えると `scan_input_too_large`)。SIGKILL等の捕捉できない終了で残った一時ディレクトリは、次回以降の起動時に削除します(名前が本サーバーの接頭辞に完全一致し、自分が所有する実体のディレクトリで、最終更新から24時間以上経過したものだけ。シンボリックリンクはたどりません)
 - **パストラバーサル対策**: 入力パスは `realpath` でシンボリックリンク解決後に境界チェック。pom.xml探索ではシンボリックリンクを辿りません。OSV-Scannerにはディレクトリを渡さず、検出したマニフェストだけを形式を明示して個別に渡します(ディレクトリを渡すと、OSV-Scannerが同じディレクトリの `requirements.txt` も読み、その取り込み指定 `-r ../x.txt` でスキャン範囲の外のファイルを読むため)。`scan_project` でrequirements.txtをスキャンする場合は元ファイルを渡さず、解釈できた依存の行だけを正規化して書いた専用コピーをスキャンします。コピーには取り込み指定を含めないため、OSV-Scannerの取り込みの解釈と本サーバーの解析がずれても、範囲外のファイルは読まれません。`pom.xml` の親POMの連鎖が `OSV_MCP_ALLOWED_ROOT` の外を参照する場合は、その `pom.xml` をスキャン対象から外します([親POMの扱い](#親pomの扱い))
 - **DoS対策**: タイムアウト・stdout上限・stderr抜粋上限を設定。スキャン結果は防御的にパースし、形式不正でも例外を投げません。同時実行スキャン数も上限(デフォルト2)を設け、並列リクエストによるプロセスの無制限起動を防ぎます。本サーバー自身の解析も、同じファイルは1回だけ読んで結果を使い回し(workspaceの収録確認でのlockfile、requirements.txtの共通の取り込み先、親POM)、読む量の合計に上限を設けます
 - **fail-closedな運用モード**: `OSV_MCP_REQUIRE_ALLOWED_ROOT=1` で、スキャン許可ルート未設定時にサーバーの起動自体を拒否できます

package/dist/index.js

@@ -20,6 +20,7 @@ import { handleScanProject } from "./tools/scanProject.js";
 import { handleScanJavaArtifact } from "./tools/scanJavaArtifact.js";
 import { handleScanSbom } from "./tools/scanSbom.js";
 import { handleSuggestFix } from "./tools/suggestFix.js";
+import { installShutdownHandlers, removeStaleTempDirs } from "./utils/processCleanup.js";
 import { ALLOWED_ROOT_ENV, allowedRootFromEnv, allowedRootStartupError, allowedRootStartupWarning, } from "./utils/startupConfig.js";
 export { ALLOWED_ROOT_ENV };
 // fail-closed: 運用モードで許可ルートが未設定なら、ツールを一切公開せず終了する
@@ -36,7 +37,7 @@ if (startupWarning !== null) {
 // NOTE: リリース時はpackage.jsonのversionと同じ値に更新すること
 const server = new McpServer({
     name: "osv-scanner-mcp",
-    version: "0.7.0",
+    version: "0.7.1",
 });
 server.registerTool("scan_project", {
     title: "プロジェクトの依存の脆弱性スキャン(Java / JavaScript / Python / Go)",
@@ -116,6 +117,13 @@ server.registerTool("scan_sbom", {
         sbom_path: z.string().min(1).describe("CycloneDX/SPDX JSON SBOMファイルの絶対パス"),
     },
 }, async ({ sbom_path }) => handleScanSbom({ sbom_path }, { allowedRoot: allowedRootFromEnv() }));
+// シグナル・stdinの終了時に一時ディレクトリと実行中のosv-scannerを片付ける(接続前に登録する)
+installShutdownHandlers();
+// 前回の異常終了で残った一時ディレクトリの掃除。起動を遅らせないよう待たない
+removeStaleTempDirs().then((removed) => {
+    if (removed > 0)
+        console.error(`osv-scanner-mcp: 前回の終了時に残った一時ディレクトリを${removed}件削除しました`);
+}, () => { });
 const transport = new StdioServerTransport();
 await server.connect(transport);
 // stdoutはMCPプロトコル専用のため、起動ログはstderrへ

package/dist/osv/runner.js

@@ -10,6 +10,7 @@
  *   requirements.txt等も読み、その`-r ../x.txt`の取り込みでスキャン範囲の外のファイルを読むため
  * - SBOMは検証・サイズ制限済みの専用一時コピー1つだけを渡す
  * - タイムアウトと出力サイズ上限を設ける(ハング・巨大出力によるDoS対策)
+ * - サーバーの終了時に実行中のプロセスを残さない(processCleanup.tsに登録し、終了時にSIGKILL)
  *
  * 終了コード(2.4.0で実機確認):
  *   0 = スキャン成功・脆弱性なし / 1 = スキャン成功・脆弱性あり / 128 = 対象パッケージなし
@@ -18,6 +19,7 @@ import { spawn } from "node:child_process";
 import path from "node:path";
 import { ScanToolError } from "../errors.js";
 import { isManifestFormat } from "../utils/manifestFormats.js";
+import { trackChildProcess } from "../utils/processCleanup.js";
 import { resolveOsvScannerBinary } from "./binaryManager.js";
 import { parseOsvScanOutput } from "./scanReport.js";
 const DEFAULT_TIMEOUT_MS = 120_000;
@@ -96,6 +98,7 @@ function execOsvScanner(binaryPath, targetPaths, timeoutMs, maxOutputBytes, scan
             shell: false,
             stdio: ["ignore", "pipe", "pipe"],
         });
+        trackChildProcess(child);
         const stdoutChunks = [];
         const stderrChunks = [];
         let stdoutBytes = 0;

package/dist/tools/scanSbom.js

@@ -3,12 +3,15 @@ import os from "node:os";
 import path from "node:path";
 import { runOsvSbomScan } from "../osv/runner.js";
 import { buildSbomReport } from "../osv/sbomReport.js";
+import { SBOM_DIR_PREFIX, trackTempDir } from "../utils/processCleanup.js";
 import { loadSbom } from "../utils/sbomInput.js";
 import { errorResult, jsonResult } from "./toolResult.js";
 export async function handleScanSbom(args, options = {}) {
     try {
         const input = await loadSbom(args.sbom_path, options);
-        const dir = await mkdtemp(path.join(await realpath(os.tmpdir()), "osv-mcp-sbom-"));
+        const dir = await mkdtemp(path.join(await realpath(os.tmpdir()), SBOM_DIR_PREFIX));
+        // シグナル等で終了しても残さない(processCleanup.ts)
+        const untrack = trackTempDir(dir);
         try {
             // A fixed filename selects the native parser, irrespective of the user's filename.
             const snapshotPath = path.join(dir, input.format === "CycloneDX" ? "input.cdx.json" : "input.spdx.json");
@@ -18,6 +21,7 @@ export async function handleScanSbom(args, options = {}) {
         }
         finally {
             await rm(dir, { recursive: true, force: true });
+            untrack();
         }
     }
     catch (error) {

package/dist/utils/processCleanup.js

@@ -0,0 +1,127 @@
+/**
+ * サーバー終了時の後始末: スキャン用の一時ディレクトリ(元のファイルのコピーを含む)と
+ * 実行中のosv-scannerプロセスを、サーバーより長く残さない。
+ *
+ * - 通常はスキャンごとの`finally`で削除するが、SIGTERM等で強制終了されると`finally`は実行されない
+ *   (2026-10-07 実機確認: scan_project中にSIGTERMを送るとosv-mcp-snap-*が残った)
+ * - そのため作成中の一時ディレクトリと子プロセスをここに登録し、シグナル・stdinの終了・
+ *   process.exitの時点で同期的に(fs.rmSync・SIGKILL)片付ける
+ * - 前回の異常終了(SIGKILL・電源断等)で残ったものは、起動時に条件を絞って削除する(removeStaleTempDirs)
+ */
+import { rmSync } from "node:fs";
+import { lstat, readdir, realpath, rm } from "node:fs/promises";
+import os from "node:os";
+import path from "node:path";
+/** 本サーバーが作る一時ディレクトリの接頭辞(起動時の掃除はこれに完全一致するものだけを対象にする) */
+export const SNAPSHOT_DIR_PREFIX = "osv-mcp-snap-";
+export const SBOM_DIR_PREFIX = "osv-mcp-sbom-";
+/** mkdtempは接頭辞の後ろに6文字の英数字を付ける */
+const TEMP_DIR_NAME = /^osv-mcp-(?:snap|sbom)-[A-Za-z0-9]{6}$/;
+/**
+ * 起動時に削除する残骸の最終更新からの経過時間。別のサーバープロセス(複数のMCPクライアント等)が
+ * 使用中のディレクトリを消さないよう、スキャンのタイムアウト(既定120秒)より十分長くとる
+ */
+export const STALE_TEMP_DIR_AGE_MS = 24 * 60 * 60 * 1000;
+const tempDirs = new Set();
+const children = new Set();
+/** 一時ディレクトリを登録する。戻り値の関数で登録を外す(通常の削除後に呼ぶ) */
+export function trackTempDir(dir) {
+    tempDirs.add(dir);
+    return () => { tempDirs.delete(dir); };
+}
+/** 子プロセスを登録する。終了(close/error)時に自動で登録を外す */
+export function trackChildProcess(child) {
+    children.add(child);
+    const untrack = () => { children.delete(child); };
+    child.once("close", untrack);
+    child.once("error", untrack);
+}
+/**
+ * 登録済みの子プロセスを強制終了し、一時ディレクトリを同期的に削除する。
+ * シグナルハンドラ・exitイベントから呼ぶため、非同期処理を使わず例外も外に出さない
+ */
+export function cleanupSync() {
+    for (const child of children) {
+        // 終了済みのプロセスにはNode側で送らない(PIDの再利用で別プロセスを止めることはない)
+        try {
+            child.kill("SIGKILL");
+        }
+        catch { /* 後始末は続ける */ }
+    }
+    children.clear();
+    for (const dir of tempDirs) {
+        try {
+            rmSync(dir, { recursive: true, force: true });
+        }
+        catch { /* 他のディレクトリの削除は続ける */ }
+    }
+    tempDirs.clear();
+}
+/** テスト用: 登録状況 */
+export function trackedCounts() {
+    return { tempDirs: tempDirs.size, children: children.size };
+}
+const SHUTDOWN_SIGNALS = ["SIGTERM", "SIGINT", "SIGHUP"];
+let installed = false;
+/**
+ * 終了時の後始末を登録する(サーバー起動時に1回だけ呼ぶ)。
+ * - SIGTERM/SIGINT/SIGHUP: 後始末して慣例の終了コード(128+シグナル番号)で終了
+ * - stdinの終了(MCPクライアントがトランスポートを閉じた): 後始末して終了コード0で終了。
+ *   応答の送り先が無いため、実行中のスキャンの完了は待たない
+ * - process.exit・未捕捉例外による終了: exitイベントで後始末する
+ */
+export function installShutdownHandlers(stdin = process.stdin) {
+    if (installed)
+        return;
+    installed = true;
+    let shuttingDown = false;
+    const shutdown = (code) => {
+        if (shuttingDown)
+            return;
+        shuttingDown = true;
+        cleanupSync();
+        process.exit(code);
+    };
+    for (const signal of SHUTDOWN_SIGNALS) {
+        process.on(signal, () => shutdown(128 + (os.constants.signals[signal] ?? 0)));
+    }
+    stdin.once("end", () => shutdown(0));
+    stdin.once("close", () => shutdown(0));
+    process.on("exit", cleanupSync);
+}
+/**
+ * 前回の異常終了で残った一時ディレクトリを削除し、削除した数を返す。次の条件をすべて満たすものだけが対象:
+ * - 名前が本サーバーの接頭辞+mkdtempの6文字に完全一致する
+ * - シンボリックリンクではなく実体のディレクトリ(lstatで判定し、リンクはたどらない)
+ * - 所有者が現在のユーザー
+ * - 最終更新からSTALE_TEMP_DIR_AGE_MS以上経過している
+ *
+ * 一時ディレクトリは通常スティッキービット付きのため、自分が所有するエントリを他のユーザーが
+ * 判定と削除の間に差し替えることはできない。中のシンボリックリンクはrmがリンク自体を消すだけでたどらない。
+ * getuidの無い環境(Windows)では所有者を確認できないため何もしない
+ */
+export async function removeStaleTempDirs(options = {}) {
+    if (typeof process.getuid !== "function")
+        return 0;
+    const uid = process.getuid();
+    const root = options.tmpRoot ?? (await realpath(os.tmpdir()));
+    const now = options.now ?? Date.now();
+    const maxAgeMs = options.maxAgeMs ?? STALE_TEMP_DIR_AGE_MS;
+    let removed = 0;
+    for (const name of await readdir(root)) {
+        if (!TEMP_DIR_NAME.test(name))
+            continue;
+        const dir = path.join(root, name);
+        try {
+            const stats = await lstat(dir);
+            if (!stats.isDirectory() || stats.uid !== uid || now - stats.mtimeMs < maxAgeMs)
+                continue;
+            await rm(dir, { recursive: true, force: true });
+            removed++;
+        }
+        catch {
+            // 消えた・読めないものは対象外(他のディレクトリの掃除は続ける)
+        }
+    }
+    return removed;
+}

package/dist/utils/scanSnapshot.js

@@ -9,12 +9,14 @@
  *   最悪でも親が見つからないだけ)
  * - `..`を重ねた参照でスナップショットの外(本物のファイルシステム)に出る親POMは除外する
  * - コピーの合計サイズに上限を設ける
+ * - サーバーがシグナル等で終了しても残さないよう、作成直後に後始末の対象へ登録する(processCleanup.ts)
  */
 import { mkdir, mkdtemp, readFile, realpath, rm, stat, writeFile } from "node:fs/promises";
 import os from "node:os";
 import path from "node:path";
 import { ScanToolError } from "../errors.js";
 import { decodePomBytes, parentRelativePath } from "./pomParent.js";
+import { SNAPSHOT_DIR_PREFIX, trackTempDir } from "./processCleanup.js";
 import { isInsideDir } from "./projectWalk.js";
 import { copyRegularFile } from "./safeRead.js";
 const DEFAULT_MAX_TOTAL_BYTES = 2 * 1024 * 1024 * 1024;
@@ -23,19 +25,22 @@ const MAX_PARENT_DEPTH = 10;
 export class ScanSnapshot {
     dir;
     maxTotalBytes;
+    untrack;
     copied = new Map();
     parentCache = new Map();
     /** 再現した配置のルートごとのディレクトリ → 元のルート("/"等) */
     mirroredRoots = new Map();
     used = 0;
     generated = 0;
-    constructor(dir, maxTotalBytes) {
+    constructor(dir, maxTotalBytes, untrack) {
         this.dir = dir;
         this.maxTotalBytes = maxTotalBytes;
+        this.untrack = untrack;
     }
     static async create(maxTotalBytes = DEFAULT_MAX_TOTAL_BYTES) {
-        const dir = await mkdtemp(path.join(await realpath(os.tmpdir()), "osv-mcp-snap-"));
-        return new ScanSnapshot(dir, maxTotalBytes);
+        const dir = await mkdtemp(path.join(await realpath(os.tmpdir()), SNAPSHOT_DIR_PREFIX));
+        // mkdtempの完了から登録までの間にシグナルの処理は割り込まない(同じ同期処理内で登録する)
+        return new ScanSnapshot(dir, maxTotalBytes, trackTempDir(dir));
     }
     /** 再現した配置のルート(実際のファイルシステムの"/"に相当) */
     get treeRoot() {
@@ -107,6 +112,7 @@ export class ScanSnapshot {
     }
     async cleanup() {
         await rm(this.dir, { recursive: true, force: true });
+        this.untrack();
     }
 }
 const UNPARSEABLE = "親POMの指定を確実に解釈できないため(親要素の重複、CDATA・DOCTYPE、プロパティ参照、UTF-8以外の文字コード等)、" +

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "osv-scanner-mcp",
-  "version": "0.7.0",
+  "version": "0.7.1",
   "description": "MCP server that wraps Google's OSV-Scanner to scan Java projects for known vulnerabilities",
   "type": "module",
   "license": "Apache-2.0",