osv-scanner-mcp 0.8.0 → 0.10.0

package/README.md

@@ -136,6 +136,41 @@ npm run build
 >
 > 依存の情報をどこに送るかは[通信先とプライバシー](#通信先とプライバシー)を確認してください。どの設定でも、脆弱性照会のためパッケージの名前とバージョンは `api.osv.dev` に送られます。
 
+### 権限を絞って起動する
+
+多層防御として、Nodeの権限モデル(`--permission`)でサーバーが読み書きできる範囲を絞れます(任意。既定の起動方法は変わりません)。`npx` ではNodeのフラグを渡せないため、`node` で直接起動します。
+
+```json
+{
+  "mcpServers": {
+    "osv-scanner": {
+      "command": "node",
+      "args": [
+        "--permission",
+        "--allow-fs-read=/path/to/OSV-Scanner-MCP",
+        "--allow-fs-read=/Users/you/projects",
+        "--allow-fs-read=/var/folders/xx/yyyy/T",
+        "--allow-fs-read=/private/var/folders/xx/yyyy/T",
+        "--allow-fs-write=/private/var/folders/xx/yyyy/T",
+        "--allow-fs-read=/opt/homebrew/bin/osv-scanner",
+        "--allow-child-process",
+        "/path/to/OSV-Scanner-MCP/dist/index.js"
+      ],
+      "env": {
+        "OSV_MCP_ALLOWED_ROOT": "/Users/you/projects",
+        "OSV_SCANNER_PATH": "/opt/homebrew/bin/osv-scanner"
+      }
+    }
+  }
+}
+```
+
+- 読み取り: サーバー本体(`dist` と `node_modules` を含むディレクトリ)、スキャン対象(`OSV_MCP_ALLOWED_ROOT`)、一時ディレクトリ、osv-scannerのバイナリ
+- 一時ディレクトリ(`os.tmpdir()`、macOSでは `$TMPDIR`)は、**シンボリックリンクの解決前と解決後の両方のパス**に読み取りの許可が必要です(macOSの `/var/folders/...` は `/private/var/folders/...` へのリンク)。書き込みは解決後のパスに許可します
+- 自動ダウンロードを使う場合は、キャッシュ(`$XDG_CACHE_HOME/osv-scanner-mcp`、既定は `~/.cache/osv-scanner-mcp`)の読み書きも許可します。使わない場合は `OSV_SCANNER_PATH` を指定します
+- osv-scannerを起動するため `--allow-child-process` が必要です。**子プロセスのosv-scannerは権限モデルの制限を受けません**(Node自身もこのフラグは権限モデルを弱めると警告します)。osv-scannerには検証済みのコピーだけを渡しているため影響は限定的ですが、より強い隔離が必要ならコンテナ等のOSレベルの仕組みを併用してください
+- 必要な許可が欠けている場合は起動時に標準エラー出力へ警告し、スキャン時は `permission_denied`(不足している許可と対象のパス)を返します
+
 ### 通信先とプライバシー
 
 osv-scanner v2.4.0 で接続先を実機確認した結果です(2026-10-07)。
@@ -220,7 +255,8 @@ api.osv.dev と deps.dev はどちらも Google が運営するサービスで
   - `package-lock.json`(v2以降): ルートとworkspaceのpackage.jsonの依存を、Nodeの解決規則(入れ子の `node_modules` から上位へ)で解決したものが直接依存、そこからたどれるものが推移的依存です。直接依存には宣言しているpackage.jsonを `declared_in` に、推移的依存にはそれを要求している直接依存の名前を `introduced_by`(最大10件、超えた分は `introduced_by_omitted`)に示します。直接依存でもあり他の依存からも要求される版は `direct` とし、`introduced_by` も付けます
   - `go.mod`: `// indirect` の無い `require` が直接依存です。`replace` で置き換えているモジュールには `replaced_in_go_mod: true` を付けます(OSV-Scannerは置換先のパスと版で報告します)
   - `requirements.txt`: ファイルに書かれた依存が直接依存、deps.devで解決された依存が推移的依存です
-  - 上記以外の形式(`pom.xml`、`gradle.lockfile`、`yarn.lock`、`pnpm-lock.yaml`、`bun.lock`、`poetry.lock`、`uv.lock`、`Pipfile.lock`、`pdm.lock`)と、lockfileVersion 1・どこからも要求されていないエントリは `unknown` です。複数のlockfileで判定が異なる場合は `mixed` です
+  - `pom.xml`: OSV-Scannerは、`pom.xml`(と親POM)に宣言された依存と、deps.devで解決された推移的依存を別々の結果(`source.type` が `lockfile` / `unknown`)に分けて報告するため、それで判定します(親POM・プロファイル・プロパティ・依存管理の解釈はOSV-Scannerと同じになります)。`introduced_by` / `declared_in` は付きません。この判定はOSV-Scannerの文書化されていない出力の形に依存するため、想定外の形の場合は `unknown` にします
+  - 上記以外の形式(`gradle.lockfile`、`yarn.lock`、`pnpm-lock.yaml`、`bun.lock`、`poetry.lock`、`uv.lock`、`Pipfile.lock`、`pdm.lock`)と、lockfileVersion 1・どこからも要求されていないエントリは `unknown` です。複数のlockfileで判定が異なる場合は `mixed` です
 - `dependency_groups` はOSV-Scannerが付けた依存グループ(例: `dev`)の生の値です。lockfileの形式によって欠落・不正確なため(pnpmでは付かず、pdmでは `optional` になる等)、参考情報として扱ってください
 - 修正版の推奨(`suggest_fix`)はJava・JavaScript・Python・Goに対応しています
 
@@ -309,7 +345,8 @@ OSV-Scanner 2.4.0の `java/archive` プラグインを使用し、ネストJAR
 **出力の読み方:**
 
 - 先頭の `coverage` に `jars_found`、`jars_identified`、`unidentified_jars` を返します。件数はWARも含む、ファイルシステム上で列挙した外側のアーカイブ単位です。ネストJARの総数ではありません。
-- `artifacts[].status` は `identified_with_vulnerabilities` / `identified_without_known_vulnerabilities` / `unidentified` の3値です。「同定済み」は少なくとも1件のMaven座標を取得できた意味であり、全依存の同定ではありません。
+- `artifacts[].status` は `identified_with_vulnerabilities` / `identified_without_known_vulnerabilities` / `inferred_only` / `unidentified` の4値です。「同定済み」は少なくとも1件のMaven座標を取得できた意味であり、全依存の同定ではありません。`inferred_only` は推測した座標(下記)だけで同定したアーカイブで、脆弱性が見つかった場合も含め `jars_identified` に数えず、`unidentified_jars` に理由付きで示します(検出件数は `identified_vulnerability_count` に示します。推測の誤ったgroupIdで他の脆弱性を取りこぼしている可能性があるため)。
+- **推測した座標**: `pom.properties` を含まないJAR(Spring Frameworkの本体JARなど)について、OSV-Scannerはファイル名等からMaven座標を推測し、groupIdを誤ることがあります(例: `spring-beans:spring-beans`。正しくは `org.springframework:spring-beans`)。誤った座標はOSVで照合されず、**既知の脆弱性を取りこぼします**(実例: zipkin-server 2.23.2 のfat JARに含まれる spring-beans 5.3.2 のSpring4Shell(CVE-2022-22965)は検出されません)。groupIdに `.` を含まない座標を推測とみなし、`coverage.inferred_coordinates`(件数・一覧・警告)と、該当パッケージの `coordinates_inferred: true` で示します。`commons-io:commons-io` のような古い形式の正しい座標も含まれます(安全側)。`.` を含む誤った推測(`com.sun.jna:jna` 等)は区別できません。正確な結果には、ビルド元のlockfile・`pom.xml` を `scan_project` でスキャンしてください
 - `coverage.completeness` は常に `incomplete`。`identified_vulnerability_count: 0` は安全性の保証ではありません。
 - `packages` は同定できた脆弱なパッケージの詳細です。複数アーカイブに含まれる同一パッケージ・脆弱性は全体集計では重複排除します。
 - JAR/WARが無い場合は `no_scannable_artifacts`、全件同定不能の場合は警告を含む成功レポートです。
@@ -387,7 +424,7 @@ npm・Go・PyPIの「同じ系統」は、npmの `^`(キャレット)が互換
 - プレリリース版(`5.0.0-beta.3`、`15.6.0-canary.61`、Goの疑似バージョン、PyPIの `rc`・`dev` 版。post版は正式版扱い)は、正式版の候補では全CVEを解消できない場合だけ推奨し、`recommended_is_prerelease: true` を付けます。同じTierのプレリリースより、上のTierの正式版を優先します。
 - 推奨時は `verification: "verified"`、CVEごとの `recommended_status` は `affected` / `not_affected` / `unknown` です。推奨保留時は `not_evaluated` になります。`per_cve_detail.fixed_in` は各CVE単独の候補であり、最終推奨先の判定は `recommended_status` を参照してください。
 - 現在より新しい修正版候補がないCVEは `tier: "unfixed"` として推奨の修正対象から除外します(情報欠落を含む場合があります)。除外したCVEも推奨先で判定し、その状態を表示します。全CVEがunfixedの場合も `recommended_upgrade` は `null` です。修正版の記載はあるがバージョンとして解釈できないCVE(SemVerでない `13.0` 等)は `tier: "unparseable_fix"` とし、修正版が無いとは扱わず修正対象に残すため、推奨は保留(`no_verified_candidate`)になります。
-- npm・Go・PyPIの提案には更新方法の `update_hint` を付けます。PyPIでは、requirements.txtやpyproject.toml・Pipfileの指定を更新してlockfileを再生成し、推移的依存はpipの制約ファイル(`-c`)やuv・Poetryの上書き設定で版を指定します。推移的依存の場合、npmでは要求している直接依存の更新か、ルートの `package.json` の `overrides`(ルートのプロジェクトでのみ有効)で版を指定します。Goでは `go get <module>@<version>` で更新できます。Goのv2以上のメジャーは別のモジュールパス(`/v2` 等)としてOSV上も別パッケージになるため、新しいメジャー系列の修正版は候補に含まれません。現在の版が疑似バージョン(タグのないコミット)の場合は `upgrade_note` に示します。
+- npm・Go・PyPIの提案には更新方法の `update_hint` を付けます。PyPIでは、requirements.txtやpyproject.toml・Pipfileの指定を更新してlockfileを再生成し、推移的依存はpipの制約ファイル(`-c`)やuv・Poetryの上書き設定で版を指定します。Maven(`pom.xml` 由来)では、直接依存は `<dependency>` の版(親POM・プロパティ・BOMで管理していればそちら)、推移的依存は `<dependencyManagement>` での上書きを案内します。推移的依存の場合、npmでは要求している直接依存の更新か、ルートの `package.json` の `overrides`(ルートのプロジェクトでのみ有効)で版を指定します。Goでは `go get <module>@<version>` で更新できます。Goのv2以上のメジャーは別のモジュールパス(`/v2` 等)としてOSV上も別パッケージになるため、新しいメジャー系列の修正版は候補に含まれません。現在の版が疑似バージョン(タグのないコミット)の場合は `upgrade_note` に示します。
 - **推奨先のOSV照会**: 推奨はスキャンで分かった脆弱性(現在の版に該当するもの)の範囲だけで検証しているため、推奨先に現在の版には該当しない新しい脆弱性がありえます(例: cryptography 3.2 の推奨候補 49.0.0 は、44.0.0 で混入し 50.0.0 で修正された2件に該当)。そこで推奨先を `api.osv.dev` に照会し、該当する脆弱性があれば、それも避けるよう修正版を候補に加えて選び直します(この例では 50.0.0 を推奨し、`upgrade_note` に理由を示します)。結果は `candidate_check` に示します:
   - `clean`: 推奨先に該当する既知の脆弱性はありません
   - `has_known_vulnerabilities`: 避けられる修正版の候補が見つからず、推奨先が既知の脆弱性に該当します(`recommended_known_vulnerabilities` にID)
@@ -433,6 +470,7 @@ npm・Go・PyPIの「同じ系統」は、npmの `^`(キャレット)が互換
 |---|---|
 | `binary_not_found` | OSV-Scannerが見つからない(インストール案内をmessageに含む) |
 | `project_not_found` | 指定パスが存在しない・ディレクトリ/pom.xmlでない |
+| `permission_denied` | Nodeの権限モデル(`--permission`)でファイルの読み書きが許可されていない(メッセージに不足している許可と対象のパスを示します。[権限を絞って起動する](#権限を絞って起動する)を参照) |
 | `no_manifest_found` | 対応マニフェスト(pom.xml / gradle.lockfile)が見つからない |
 | `scan_input_too_large` | スキャン対象ファイル(一時ディレクトリへのコピー)の合計サイズが上限(2GiB)を超えた。対象を絞って再実行する |
 | `manifest_search_limit_exceeded` | マニフェスト探索が上限(20万エントリ・1,000マニフェスト)に達した。より狭いディレクトリかマニフェストを直接指定する |

package/dist/index.js

@@ -21,6 +21,10 @@ import { handleScanProject } from "./tools/scanProject.js";
 import { handleScanJavaArtifact } from "./tools/scanJavaArtifact.js";
 import { handleScanSbom } from "./tools/scanSbom.js";
 import { handleSuggestFix } from "./tools/suggestFix.js";
+import { realpathSync } from "node:fs";
+import os from "node:os";
+import { defaultCacheDir } from "./osv/binaryDownloader.js";
+import { permissionModelWarnings } from "./utils/permissionCheck.js";
 import { installShutdownHandlers, removeStaleTempDirs } from "./utils/processCleanup.js";
 import { ALLOWED_ROOT_ENV, allowedRootFromEnv, allowedRootStartupError, allowedRootStartupWarning, } from "./utils/startupConfig.js";
 export { ALLOWED_ROOT_ENV };
@@ -35,10 +39,29 @@ const startupWarning = allowedRootStartupWarning();
 if (startupWarning !== null) {
     console.error(`osv-scanner-mcp: [警告] ${startupWarning}`);
 }
+// Nodeの権限モデル(--permission)で起動された場合、必要な許可が欠けていればstderrで知らせる(起動は続ける)
+{
+    const tmpDir = os.tmpdir();
+    let tmpDirReal = tmpDir;
+    try {
+        tmpDirReal = realpathSync(tmpDir);
+    }
+    catch { /* 解決前のパスの読み取りが拒否されている場合も、警告で示す */ }
+    const scannerPath = process.env.OSV_SCANNER_PATH?.trim();
+    for (const warning of permissionModelWarnings({
+        allowedRoot: allowedRootFromEnv(),
+        tmpDir,
+        tmpDirReal,
+        cacheDir: scannerPath ? undefined : defaultCacheDir(),
+        scannerPath: scannerPath || undefined,
+    })) {
+        console.error(`osv-scanner-mcp: [警告] ${warning}`);
+    }
+}
 // NOTE: リリース時はpackage.jsonのversionと同じ値に更新すること
 const server = new McpServer({
     name: "osv-scanner-mcp",
-    version: "0.8.0",
+    version: "0.10.0",
 });
 server.registerTool("scan_project", {
     title: "プロジェクトの依存の脆弱性スキャン(Java / JavaScript / Python / Go)",
@@ -47,7 +70,7 @@ server.registerTool("scan_project", {
         "Python(poetry.lock / uv.lock / Pipfile.lock / pdm.lock / requirements.txt)、Go(go.mod)。" +
         "パッケージマネージャーやビルドは実行しない。" +
         "応答先頭のcoverageを必ず確認すること: lockfileが無いマニフェスト、バージョン未固定のrequirements行、スキャン対象から外したファイルを示す。" +
-        "各パッケージのdependency_relationは直接依存(direct)か推移的依存(transitive)か(package-lock.json・go.mod・requirements.txtで判定。それ以外はunknown)。" +
+        "各パッケージのdependency_relationは直接依存(direct)か推移的依存(transitive)か(package-lock.json・go.mod・requirements.txt・pom.xmlで判定。それ以外はunknown)。" +
         "coverage.complete=falseの場合は、検出0件でも安全とは判断しないこと。修正版の推奨(suggest_fix)はJava・JavaScript・Python・Goに対応。",
     inputSchema: {
         project_path: z
@@ -104,6 +127,7 @@ server.registerTool("scan_java_artifact", {
     title: "JAR/WAR実体の脆弱性スキャン",
     description: "JAR/WARファイルまたはディレクトリ内の実体をスキャンする。ビルドやJavaコードの実行は行わない。" +
         "メタデータによるベストエフォート同定のため、coverageと同定不能ファイルを必ず確認すること。" +
+        "pom.propertiesのないJARは座標を推測し、groupIdの誤りで既知の脆弱性を取りこぼしうる(coverage.inferred_coordinates、status: inferred_only)。" +
         "completenessは常にincomplete。検出0件でも安全性や全依存の同定を保証しない。",
     inputSchema: {
         artifact_path: z.string().min(1).describe("JAR/WARファイル、または探索するディレクトリの絶対パス"),

package/dist/osv/artifactReport.js

@@ -4,6 +4,23 @@ import { asArray, asRecord } from "../utils/unknownJson.js";
 import { parseOsvScanOutput } from "./scanReport.js";
 const WARNING = "Best-effort metadata identification only. Missing or removed metadata can hide dependencies, even in identified archives. Zero identified vulnerabilities does not establish safety.";
 const HINT = "Metadata may be missing (shaded/minimized archive). Scan the build project's lockfile instead.";
+const INFERRED_WARNING = "Some Maven coordinates were inferred from file names because the JAR has no pom.properties (inferred_coordinates). " +
+    "Inferred groupIds are often wrong (e.g. spring-beans:spring-beans instead of org.springframework:spring-beans), " +
+    "so known vulnerabilities of these packages may be missed. Scan the build project's lockfile or pom.xml (scan_project) for accurate results.";
+const INFERRED_HINT = "Identified only by inferred coordinates (no pom.properties). Known vulnerabilities may be missed.";
+/** coverage.inferred_coordinatesの上限(巨大なWARで応答を膨らませない) */
+const MAX_INFERRED_ITEMS = 200;
+/**
+ * osv-scannerがpom.propertiesのないJARについて、ファイル名等から推測した座標か(B3の実物の検証で判明)。
+ * 推測の座標はgroupIdを誤りやすく(`spring-beans:spring-beans`、`jar:grpc-netty-shaded`、`all:opentelemetry-api`)、
+ * OSVで照会しても0件になり既知の脆弱性を取りこぼす。osv-scannerの出力には座標の出所がないため、
+ * groupIdに`.`がないものを推測とみなす。`commons-io:commons-io`のような古い形式の正しい座標も含む(安全側)。
+ * `.`を含む誤った推測(`com.sun.jna:jna`)は区別できない
+ */
+export function isInferredCoordinate(name) {
+    const groupId = name.split(":")[0] ?? "";
+    return !groupId.includes(".");
+}
 function isIdentifiedPackage(raw) {
     const info = asRecord(asRecord(raw)?.package);
     if (info?.ecosystem !== "Maven" || typeof info.name !== "string" || typeof info.version !== "string")
@@ -31,30 +48,53 @@ export function buildArtifactReport(raw, artifactPaths) {
     }
     const normalized = [...byPath].map(([file, packages]) => ({ source: { path: file }, packages }));
     const report = parseOsvScanOutput({ results: normalized });
+    const coordinateOf = (raw) => {
+        const info = asRecord(asRecord(raw)?.package);
+        return { name: String(info.name), version: String(info.version) };
+    };
     const artifacts = artifactPaths.map((file) => {
         const packages = byPath.get(file);
-        const identified = packages !== undefined;
         const perFile = parseOsvScanOutput({ results: [{ packages: packages ?? [] }] });
+        // 推測の座標だけで同定したアーカイブは、脆弱性の有無に関係なく「同定済み」にしない(同定の確度と検出件数を分ける)。
+        // 脆弱性が見つかっても、推測の誤ったgroupIdで他の脆弱性を取りこぼしている可能性がある
+        const inferredOnly = packages !== undefined && packages.every((raw) => isInferredCoordinate(coordinateOf(raw).name));
         return {
             path: sanitizeExternalText(file),
-            status: !identified ? "unidentified" : perFile.vulnerability_count > 0
+            status: packages === undefined ? "unidentified" : inferredOnly ? "inferred_only" : perFile.vulnerability_count > 0
                 ? "identified_with_vulnerabilities" : "identified_without_known_vulnerabilities",
             identified_vulnerability_count: perFile.vulnerability_count,
         };
     });
+    // 推測の座標の一覧(既知の脆弱性のないものも含む。名前と版で重複を除く)
+    const inferred = [...new Map([...byPath.values()].flat().map(coordinateOf)
+            .filter((c) => isInferredCoordinate(c.name)).map((c) => [`${c.name}@${c.version}`, c])).values()]
+        .sort((a, b) => (a.name < b.name ? -1 : a.name > b.name ? 1 : 0));
     return {
         coverage: {
             jars_found: artifactPaths.length,
-            jars_identified: byPath.size,
-            unidentified_jars: artifacts.filter((item) => item.status === "unidentified")
-                .map(({ path }) => ({ path, hint: HINT })),
+            jars_identified: artifacts.filter((item) => item.status !== "unidentified" && item.status !== "inferred_only").length,
+            unidentified_jars: artifacts.filter((item) => item.status === "unidentified" || item.status === "inferred_only")
+                .map(({ path, status }) => ({ path, hint: status === "inferred_only" ? INFERRED_HINT : HINT })),
             completeness: "incomplete",
             warning: WARNING,
+            ...(inferred.length > 0 ? {
+                inferred_coordinates: {
+                    count: inferred.length,
+                    items: inferred.slice(0, MAX_INFERRED_ITEMS).map((c) => ({ name: sanitizeExternalText(c.name), version: sanitizeExternalText(c.version) })),
+                    ...(inferred.length > MAX_INFERRED_ITEMS ? { omitted: inferred.length - MAX_INFERRED_ITEMS } : {}),
+                    warning: INFERRED_WARNING,
+                },
+            } : {}),
         },
         artifacts,
         identified_vulnerability_count: report.vulnerability_count,
         identified_vulnerable_package_count: report.vulnerable_package_count,
         severity_breakdown: report.severity_breakdown,
-        packages: report.packages,
+        packages: report.packages.map((pkg) => {
+            if (!isInferredCoordinate(pkg.name))
+                return pkg;
+            const { vulnerabilities, ...rest } = pkg;
+            return { ...rest, coordinates_inferred: true, vulnerabilities };
+        }),
     };
 }

package/dist/osv/binaryDownloader.js

@@ -19,7 +19,9 @@ import { readResponseBytes } from "../utils/readResponseBytes.js";
 /**
  * ピン留めするOSV-Scannerのバージョン。更新時は下のチェックサムも必ず更新すること。
  * 範囲外の読み込みを防ぐ検証はこの版の挙動に合わせているため、更新時は
- * docs/DESIGN_TODO.md「B5」の監査と、requirements.txt・親POMの解釈の実機確認をやり直すこと
+ * docs/DESIGN_TODO.md「B5」の監査と、requirements.txt・親POMの解釈の実機確認をやり直すこと。
+ * pom.xmlの直接/推移的依存の判定(dependencyRelations.tsのpomRelations)も、この版が同じpom.xmlを
+ * source.type "lockfile"(宣言された依存)と"unknown"(deps.devで解決された推移的依存)に分けて報告する挙動に依存するため再確認すること
  */
 export const PINNED_OSV_SCANNER_VERSION = "2.4.0";
 /**
@@ -45,7 +47,7 @@ export function assetNameForPlatform(platform = process.platform, arch = process
         return null;
     return `osv-scanner_${osName}_${cpuName}${osName === "windows" ? ".exe" : ""}`;
 }
-function defaultCacheDir() {
+export function defaultCacheDir() {
     const xdg = process.env.XDG_CACHE_HOME;
     const base = xdg !== undefined && xdg.trim() !== "" ? xdg : path.join(os.homedir(), ".cache");
     return path.join(base, "osv-scanner-mcp");

package/dist/osv/binaryManager.js

@@ -4,11 +4,16 @@
  * 探索順: 環境変数 OSV_SCANNER_PATH → PATH上の osv-scanner
  */
 import { access, constants, stat } from "node:fs/promises";
+import { isAccessDenied, permissionDeniedError } from "../utils/projectWalk.js";
 import path from "node:path";
 import { ScanToolError } from "../errors.js";
 export const OSV_SCANNER_PATH_ENV = "OSV_SCANNER_PATH";
 const BINARY_NAME = process.platform === "win32" ? "osv-scanner.exe" : "osv-scanner";
-async function isExecutableFile(filePath) {
+/**
+ * 実行可能な通常のファイルか。rethrowDeniedのとき、Nodeの権限モデル(--permission)による拒否は
+ * 「見つからない」にせず投げる(明示指定のパスで原因を誤らせない。PATHの探索では読めない場所を飛ばす)
+ */
+async function isExecutableFile(filePath, rethrowDenied = false) {
     try {
         const stats = await stat(filePath);
         if (!stats.isFile())
@@ -16,7 +21,9 @@ async function isExecutableFile(filePath) {
         await access(filePath, constants.X_OK);
         return true;
     }
-    catch {
+    catch (error) {
+        if (rethrowDenied && isAccessDenied(error))
+            throw permissionDeniedError(error);
         return false;
     }
 }
@@ -25,7 +32,7 @@ export async function findOsvScannerBinary(env = process.env) {
     const explicit = env[OSV_SCANNER_PATH_ENV];
     if (explicit !== undefined && explicit.trim() !== "") {
         // 明示指定が無効な場合はPATHにフォールバックせず失敗させる(意図しないバイナリの実行を防ぐ)
-        return (await isExecutableFile(explicit)) ? explicit : null;
+        return (await isExecutableFile(explicit, true)) ? explicit : null;
     }
     for (const dir of (env.PATH ?? "").split(path.delimiter)) {
         if (dir === "")

package/dist/osv/scanReport.js

@@ -94,7 +94,7 @@ export function extractFixedVersions(vulnDetails, packageName, ecosystem) {
     return sortVersions(versions, ecosystem);
 }
 /**
- * パッケージごとのスキャン元ファイル(osv-scannerの`results[].source.path`)。
+ * パッケージごとのスキャン元ファイル(osv-scannerの`results[].source.path`と`type`)。
  * 応答のJSONには出さない(既存の応答を変えない)ため、パッケージのオブジェクトをキーに別に持つ。
  * 直接/推移的依存の判定(dependencyRelations.ts)が、どのlockfileの依存かを知るために使う
  */
@@ -116,6 +116,7 @@ export function parseOsvScanOutput(raw) {
         if (!result)
             continue;
         const sourcePath = asString(asRecord(result.source)?.path);
+        const sourceType = asString(asRecord(result.source)?.type);
         if (sourcePath !== null && !sourceFiles.includes(sourcePath)) {
             sourceFiles.push(sourcePath);
         }
@@ -133,11 +134,14 @@ export function parseOsvScanOutput(raw) {
             const key = `${ecosystem}:${name}@${version}`;
             let entry = packageMap.get(key);
             if (!entry) {
-                entry = { name, version, ecosystem, groups: new Set(), sources: new Set(), vulns: new Map() };
+                entry = { name, version, ecosystem, groups: new Set(), sources: new Set(), sourceList: [], vulns: new Map() };
                 packageMap.set(key, entry);
             }
-            if (sourcePath !== null)
-                entry.sources.add(sourcePath);
+            const sourceKey = JSON.stringify([sourcePath, sourceType]);
+            if (sourcePath !== null && !entry.sources.has(sourceKey)) {
+                entry.sources.add(sourceKey);
+                entry.sourceList.push({ path: sourcePath, type: sourceType });
+            }
             for (const group of asStrings(pkgObj.dependency_groups))
                 entry.groups.add(group);
             const details = asArray(pkgObj.vulnerabilities);
@@ -161,7 +165,11 @@ export function parseOsvScanOutput(raw) {
                     severity: severityFromScore(score),
                     summary: extractSummary(vulnDetails),
                     fixed_versions: extractFixedVersions(vulnDetails, name, ecosystem),
-                    affected_versions: extractAffectedVersions(vulnDetails, ids, name, ecosystem),
+                });
+                // 内部でだけ使うため列挙不可にする(JSON.stringifyに含まれない)
+                Object.defineProperty(entry.vulns.get(primaryId), "affected_versions", {
+                    value: extractAffectedVersions(vulnDetails, ids, name, ecosystem),
+                    enumerable: false,
                 });
             }
         }
@@ -196,7 +204,7 @@ function buildReport(sourceFiles, packageMap) {
             ...(entry.groups.size > 0 ? { dependency_groups: [...entry.groups].sort() } : {}),
             vulnerabilities,
         };
-        packageSourceMap.set(pkg, [...entry.sources]);
+        packageSourceMap.set(pkg, entry.sourceList);
         return pkg;
     })
         .sort((a, b) => maxScore(b.vulnerabilities) - maxScore(a.vulnerabilities) || cmpId(a.name, b.name));

package/dist/osv/suggestFix.js

@@ -59,6 +59,14 @@ function updateHint(pkg) {
             }
             return UPDATE_HINTS.Go;
         }
+        case "Maven":
+            if (relation === "direct") {
+                return "直接依存です。pom.xmlの<dependency>の版を更新します。版を親POMの<dependencyManagement>・プロパティ・BOMで管理している場合は、そちらを更新します";
+            }
+            if (relation === "transitive") {
+                return "推移的依存です。pom.xmlの<dependencyManagement>で推奨版を指定して上書きする(Mavenの依存の調停で優先されます)か、それを要求している直接依存を更新します";
+            }
+            return undefined; // gradle.lockfile等: 判定できないため具体的な案内はしない(従来どおり)
         case "PyPI":
             if (relation === "direct") {
                 return "直接依存です。requirements.txtの版の指定、またはpyproject.toml・Pipfileの指定を更新し、lockfileを再生成します";

package/dist/tools/scanProject.js

@@ -8,7 +8,7 @@ import path from "node:path";
 import { ScanToolError } from "../errors.js";
 import { isRemoteResolutionDisabled, runOsvScan } from "../osv/runner.js";
 import { packageSources, parseOsvScanOutput } from "../osv/scanReport.js";
-import { combineRelations, goModRelations, npmLockRelations, requirementsRelations, } from "../utils/dependencyRelations.js";
+import { combineRelations, goModRelations, npmLockRelations, pomRelations, requirementsRelations, } from "../utils/dependencyRelations.js";
 import { sanitizeExternalText } from "../utils/externalText.js";
 import { readRegularFile } from "../utils/safeRead.js";
 import { detectProject } from "../utils/manifestDetector.js";
@@ -115,6 +115,9 @@ export async function buildRelationLookups(copies, maxTotalBytes = MAX_RELATION_
                     lookup = format === "go.mod" ? goModRelations(text) : npmLockRelations(JSON.parse(text));
                 }
             }
+            else if (format === "pom.xml") {
+                lookup = pomRelations(); // ファイルは読まず、osv-scannerのsource.typeで判定する
+            }
             else if (format === "requirements.txt" && entries !== undefined) {
                 lookup = requirementsRelations(entries);
             }
@@ -129,15 +132,21 @@ export async function buildRelationLookups(copies, maxTotalBytes = MAX_RELATION_
 /** パッケージに直接/推移的依存の別を付ける。項目は脆弱性の一覧より前に置く */
 function annotateRelations(packages, lookups) {
     return packages.map((pkg) => {
-        const infos = [];
+        // 同じファイルが複数の結果に分かれる(pom.xml・requirements.txtの宣言と推移的依存)ため、ファイルごとに1つにまとめる。
+        // 同じファイルで直接依存と判定された結果があれば直接依存とする
+        const byFile = new Map();
         const declaredIn = new Set();
+        const rank = { direct: 2, transitive: 1, unknown: 0 };
         for (const source of packageSources(pkg)) {
-            const entry = lookups.get(source);
-            const info = entry?.lookup ? entry.lookup(pkg.name, pkg.version) : { relation: "unknown" };
-            infos.push(info);
+            const entry = lookups.get(source.path);
+            const info = entry?.lookup ? entry.lookup(pkg.name, pkg.version, source.type) : { relation: "unknown" };
+            const previous = byFile.get(source.path);
+            if (previous === undefined || rank[info.relation] > rank[previous.relation])
+                byFile.set(source.path, info);
             for (const manifest of info.declaredIn ?? [])
                 declaredIn.add(path.join(entry.lockDir, manifest));
         }
+        const infos = [...byFile.values()];
         const { relation, introducedBy, replaced } = combineRelations(infos);
         const { vulnerabilities, ...rest } = pkg;
         return {

package/dist/tools/toolResult.js

@@ -8,6 +8,7 @@
  */
 import { ScanToolError } from "../errors.js";
 import { sanitizeExternalText } from "../utils/externalText.js";
+import { isAccessDenied, permissionDeniedError } from "../utils/projectWalk.js";
 export function jsonResult(payload, isError = false) {
     return {
         content: [{ type: "text", text: JSON.stringify(payload, null, 2) }],
@@ -28,6 +29,9 @@ export function errorResult(error) {
             },
         }, true);
     }
+    // Nodeの権限モデルの拒否は、許可の付け方が分かるエラーにする(内部の例外の詳細は返さない)
+    if (isAccessDenied(error))
+        return errorResult(permissionDeniedError(error));
     // 想定外の例外はスタックトレース等の内部情報をクライアントへ返さない
     return jsonResult({ error: { kind: "internal_error", message: "予期しないエラーが発生しました" } }, true);
 }

package/dist/utils/artifactDetector.js

@@ -1,6 +1,7 @@
 import { opendir, realpath, stat } from "node:fs/promises";
 import path from "node:path";
 import { ScanToolError } from "../errors.js";
+import { isAccessDenied, permissionDeniedError } from "./projectWalk.js";
 // Build output directories must be included for artifact scans.
 const SKIPPED_DIRS = new Set([".git", "node_modules", ".idea", ".vscode"]);
 const isArchive = (file) => /\.(jar|war)$/i.test(file);
@@ -12,7 +13,10 @@ export async function detectJavaArtifacts(inputPath, options = {}) {
     try {
         targetPath = await realpath(inputPath);
     }
-    catch {
+    catch (error) {
+        // Nodeの権限モデルの拒否を「存在しない」と誤って伝えない
+        if (isAccessDenied(error))
+            throw permissionDeniedError(error);
         throw new ScanToolError("project_not_found", `Path does not exist: ${inputPath}`);
     }
     if (options.allowedRoot !== undefined) {

package/dist/utils/dependencyRelations.js

@@ -236,6 +236,15 @@ export function goModRelations(text) {
         return replaced.has(`${name}@${version}`) || replacedLocal.has(name) ? { relation, replaced: true } : { relation };
     };
 }
+/**
+ * pom.xmlの依存の関係を、osv-scannerの`source.type`で判定する(pom.xmlは自前で解析しない)。
+ * osv-scanner 2.4.0は同じpom.xmlを、宣言された依存(親POM・プロファイル・プロパティ・依存管理をosv-scannerが解釈したもの)を
+ * `type: "lockfile"`、deps.devで解決された推移的依存を`type: "unknown"`の結果に分けて報告する(実データで確認)。
+ * 文書化された仕様ではないため、想定外のtypeはunknownにする(osv-scannerのピン留め更新時に再確認する)。
+ */
+export function pomRelations() {
+    return (_name, _version, sourceType) => sourceType === "lockfile" ? { relation: "direct" } : sourceType === "unknown" ? { relation: "transitive" } : UNKNOWN;
+}
 /** PEP 503の正規化 */
 function normalizePypi(name) {
     return name.toLowerCase().replace(/[-_.]+/g, "-");

package/dist/utils/permissionCheck.js

@@ -0,0 +1,38 @@
+/**
+ * Nodeの権限モデル(--permission)で起動された場合の、必要な許可の確認(docs/DESIGN_TODO.md「B3」)。
+ *
+ * 権限モデルは任意の多層防御として使える(既定の起動方法は変えない)。必要な許可が欠けると
+ * スキャンの途中でERR_ACCESS_DENIEDになるため、起動時にstderrで知らせる(起動は拒否しない)。
+ * 子プロセス(osv-scanner)は権限モデルの制限を受けない点に注意(READMEに明記)。
+ */
+import path from "node:path";
+/** 権限モデルが有効なときに、欠けている許可を警告文の一覧で返す。無効なら空 */
+export function permissionModelWarnings(input, permission = process.permission) {
+    if (permission === undefined)
+        return [];
+    const inside = (dir) => path.join(dir, "x"); // ディレクトリ配下の読み書きの許可を確かめる
+    const warnings = [];
+    if (!permission.has("child")) {
+        warnings.push("子プロセスの起動が許可されていません。osv-scannerを実行できません(--allow-child-process)");
+    }
+    const tmpDirs = [...new Set([input.tmpDir, input.tmpDirReal])];
+    const unreadableTmp = tmpDirs.filter((dir) => !permission.has("fs.read", inside(dir)));
+    if (unreadableTmp.length > 0) {
+        warnings.push(`一時ディレクトリの読み取りが許可されていません: ${unreadableTmp.join(", ")}` +
+            "(シンボリックリンクの解決前と解決後の両方のパスに--allow-fs-readが必要です)");
+    }
+    if (!permission.has("fs.write", inside(input.tmpDirReal))) {
+        warnings.push(`一時ディレクトリへの書き込みが許可されていません: ${input.tmpDirReal}(--allow-fs-write)`);
+    }
+    if (input.allowedRoot !== undefined && !permission.has("fs.read", inside(input.allowedRoot))) {
+        warnings.push(`OSV_MCP_ALLOWED_ROOTの読み取りが許可されていません: ${input.allowedRoot}(--allow-fs-read)`);
+    }
+    if (input.scannerPath !== undefined && !permission.has("fs.read", input.scannerPath)) {
+        warnings.push(`OSV_SCANNER_PATHの読み取りが許可されていません: ${input.scannerPath}(--allow-fs-read)`);
+    }
+    if (input.cacheDir !== undefined && !permission.has("fs.write", inside(input.cacheDir))) {
+        warnings.push(`osv-scannerのキャッシュへの書き込みが許可されていません: ${input.cacheDir}` +
+            "(自動ダウンロードを使う場合は--allow-fs-writeと--allow-fs-read、使わない場合はOSV_SCANNER_PATHを指定)");
+    }
+    return warnings;
+}

package/dist/utils/projectWalk.js

@@ -10,11 +10,26 @@ import { ScanToolError } from "../errors.js";
 const DEFAULT_MAX_DEPTH = 64;
 const DEFAULT_MAX_ENTRIES = 200_000;
 const DEFAULT_MAX_MANIFESTS = 1_000;
+/** Nodeの権限モデル(--permission)による拒否か */
+export function isAccessDenied(error) {
+    return error instanceof Error && error.code === "ERR_ACCESS_DENIED";
+}
+/** 権限モデルの拒否を、許可の付け方が分かるエラーにする */
+export function permissionDeniedError(error) {
+    const resource = typeof error.resource === "string" ? `: ${error.resource}` : "";
+    const kind = error.permission === "FileSystemWrite" ? "書き込み(--allow-fs-write)" : error.permission === "ChildProcess"
+        ? "子プロセスの起動(--allow-child-process)" : "読み取り(--allow-fs-read)";
+    return new ScanToolError("permission_denied", `Nodeの権限モデル(--permission)で${kind}が許可されていません${resource}。` +
+        "スキャン対象・一時ディレクトリ(シンボリックリンクの解決前と解決後の両方のパス)・osv-scannerのキャッシュへの許可が必要です(READMEの「権限を絞って起動する」を参照)");
+}
 export async function resolveExistingPath(inputPath) {
     try {
         return await realpath(path.resolve(inputPath));
     }
-    catch {
+    catch (error) {
+        // Nodeの権限モデルの拒否を「存在しない」と誤って伝えない
+        if (isAccessDenied(error))
+            throw permissionDeniedError(error);
         throw new ScanToolError("project_not_found", `指定されたパスが存在しません: ${inputPath}`);
     }
 }
@@ -54,8 +69,11 @@ export async function walkProjectFiles(rootDir, options, skippedDirs, onFile) {
             try {
                 entries = await readdir(dir, { withFileTypes: true });
             }
-            catch {
-                continue; // 読めないディレクトリはスキップ(権限不足等)
+            catch (error) {
+                // Nodeの権限モデルの拒否は、スキャン範囲を黙って欠落させずにエラーにする
+                if (isAccessDenied(error))
+                    throw permissionDeniedError(error);
+                continue; // 読めないディレクトリはスキップ(OSの権限不足等)
             }
             for (const entry of entries) {
                 if (++visited > limits.maxEntries)

package/dist/utils/safeRead.js

@@ -14,10 +14,11 @@
  */
 import { constants } from "node:fs";
 import { open, realpath, rm, stat } from "node:fs/promises";
-import { isInsideDir } from "./projectWalk.js";
+import { isAccessDenied, isInsideDir } from "./projectWalk.js";
 const OPEN_FLAGS = constants.O_RDONLY | (constants.O_NONBLOCK ?? 0) | (constants.O_NOFOLLOW ?? 0);
 const MESSAGES = {
     not_found: "ファイルを開けません",
+    denied: "Nodeの権限モデル(--permission)で読み取りが許可されていません",
     not_regular: "通常のファイルではありません(名前付きパイプ・デバイス等)",
     too_large: "サイズが上限を超えています",
     outside: "スキャン範囲の外のファイルです",
@@ -56,8 +57,8 @@ export async function copyRegularFile(filePath, dest, options) {
     try {
         source = await open(filePath, OPEN_FLAGS);
     }
-    catch {
-        return failure("not_found");
+    catch (error) {
+        return failure(isAccessDenied(error) ? "denied" : "not_found");
     }
     let total = 0;
     let result = null;
@@ -114,8 +115,8 @@ export async function readRegularFile(filePath, options) {
     try {
         handle = await open(filePath, OPEN_FLAGS);
     }
-    catch {
-        return failure("not_found");
+    catch (error) {
+        return failure(isAccessDenied(error) ? "denied" : "not_found");
     }
     let info;
     const chunks = [];

package/dist/utils/sbomInput.js

@@ -3,6 +3,7 @@ import { constants } from "node:fs";
 import { open, realpath } from "node:fs/promises";
 import path from "node:path";
 import { ScanToolError } from "../errors.js";
+import { isAccessDenied, permissionDeniedError } from "./projectWalk.js";
 import { verifyOpenedFile } from "./safeRead.js";
 import { asRecord } from "./unknownJson.js";
 const DEFAULT_MAX_INPUT_BYTES = 16 * 1024 * 1024;
@@ -16,7 +17,10 @@ export async function loadSbom(inputPath, options = {}) {
     try {
         sourcePath = await realpath(inputPath);
     }
-    catch {
+    catch (error) {
+        // Nodeの権限モデルの拒否を「存在しない」と誤って伝えない
+        if (isAccessDenied(error))
+            throw permissionDeniedError(error);
         throw new ScanToolError("sbom_not_found", "The specified SBOM file does not exist");
     }
     if (options.allowedRoot !== undefined) {
@@ -69,6 +73,8 @@ export async function loadSbom(inputPath, options = {}) {
     catch (error) {
         if (error instanceof ScanToolError)
             throw error;
+        if (isAccessDenied(error))
+            throw permissionDeniedError(error);
         throw new ScanToolError("sbom_not_found", "The specified SBOM file could not be read");
     }
     let raw;

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "osv-scanner-mcp",
-  "version": "0.8.0",
+  "version": "0.10.0",
   "description": "MCP server that wraps Google's OSV-Scanner to scan Java projects for known vulnerabilities",
   "type": "module",
   "license": "Apache-2.0",