mcp-devtools

Инструменты разработчика с поддержкой ИИ через Model Context Protocol. MCP-сервер промышленного уровня, который предоставляет ИИ-агентам (Claude, Cursor, Copilot, Continue, ...) безопасный и ограниченный доступ к вашей локальной среде разработки.

Зачем это нужно

Экосистема MCP переполнена узкоспециализированными руководствами и адаптерами, привязанными к конкретным поставщикам. Не существует хорошо поддерживаемого, многофункционального, не зависящего от фреймворков MCP-пакета промышленного качества для повседневных задач разработчика.

mcp-devtools заполняет этот пробел, предлагая 14 инструментов, 3 ресурса MCP, 4 промпта MCP, API плагинов, два режима транспорта (stdio + HTTP с аутентификацией) и журнал аудита — всё это построено на принципах, отточенных в промышленной эксплуатации в DailyBot.

Related MCP server: Mac MCP

Быстрый старт

stdio (по умолчанию)

npx @oscarmarin/mcp-devtools

Добавьте его в Claude Desktop (~/Library/Application Support/Claude/claude_desktop_config.json):

{
  "mcpServers": {
    "devtools": {
      "command": "npx",
      "args": ["-y", "@oscarmarin/mcp-devtools"]
    }
  }
}

Или в Cursor (~/.cursor/mcp.json): используйте тот же блок.

HTTP-транспорт

Создайте файл mcp-devtools.json в корне вашего проекта:

{
  "transport": "http",
  "port": 3333,
  "auth": {
    "token": "env:MCP_AUTH_TOKEN"
  }
}

Затем запустите сервер:

npx @oscarmarin/mcp-devtools

Эндпоинт MCP будет доступен по адресу http://localhost:3333.

Инструменты

Справочник по инструментам: docs/tools/.

Ресурсы MCP

Сервер предоставляет данные только для чтения через ресурсы MCP:

Промпты MCP

Кураторская подборка шаблонов промптов для типичных рабочих процессов разработки:

API плагинов

Расширяйте mcp-devtools собственными инструментами — форк не требуется.

На основе конфигурации (загрузка при запуске):

{
  "plugins": ["./my-tools.js", "@scope/mcp-plugin-foo"]
}

Каждый модуль плагина должен экспортировать по умолчанию массив определений инструментов:

import { defineTool } from "@oscarmarin/mcp-devtools";
import { z } from "zod";

export default [
  defineTool({
    name: "my_tool",
    description: "Does something useful",
    inputSchema: z.object({ input: z.string() }),
    handler: async (args, config) => ({
      ok: true,
      data: { result: args.input.toUpperCase() },
    }),
  }),
];

Конфигурация

Конфигурация загружается с помощью cosmiconfig из mcp-devtools.json, .mcp-devtoolsrc или ключа mcpDevtools в package.json. Полную схему см. в mcp-devtools.example.json и docs/configuration.md.

Поддерживается работа без конфигурации: запуск npx @oscarmarin/mcp-devtools без параметров использует значения по умолчанию (RNF-05).

Безопасность

Четыре неотключаемых механизма контроля:

1. Ограничение области файловой системы. Каждый путь приводится к абсолютному и сравнивается с config.scope. Символические ссылки, выходящие за пределы области, вызывают ошибку SCOPE_VIOLATION.

2. Белый список команд. run_command выполняет только те бинарные файлы, базовое имя которых указано в allowedCommands. Вызов осуществляется через spawn(file, args) (без оболочки), поэтому инъекции через аргументы командной строки структурно невозможны.

3. Режим базы данных «только для чтения». Если readOnly: true, весь SQL парсится, и команды INSERT/UPDATE/DELETE/DROP/CREATE/GRANT отклоняются. Запросы выполняются в режиме BEGIN READ ONLY ... ROLLBACK для PostgreSQL.

4. HTTP Bearer аутентификация. Если настроен auth.token, каждый HTTP-запрос должен содержать Authorization: Bearer <token>. Сравнение выполняется с помощью crypto.timingSafeEqual для предотвращения атак по времени.

Дополнительные меры безопасности:

• Журнал аудита. Опциональный лог в формате NDJSON для каждого вызова инструмента с указанием времени, очищенными входными данными и статусом результата.

• Маскирование секретов. get_env автоматически маскирует значения, соответствующие типичным шаблонам секретов (SECRET, TOKEN, PASSWORD, KEY и т.д.).

• Ограничение хостов OpenAPI. call_api отправляет запросы только на хосты, указанные в массиве servers спецификации.

• Ограничение вывода. Все инструменты ограничивают объем вывода для предотвращения переполнения контекста (100 КБ для команд, 1 МБ для файлов, 200 строк для запросов).

Участие в разработке

git clone https://github.com/marin1321/mcp-devtools.git
cd mcp-devtools
npm install
npm run dev       # tsup --watch
npm run test      # vitest
npm run typecheck # tsc --noEmit
npm run lint      # eslint .

Полный рабочий процесс описан в CONTRIBUTING.md, а правила сообщества — в CODE_OF_CONDUCT.md.

Лицензия

MIT © Oscar Humberto Marin Molina — oscarmarindev.com