RIB iTWO 4.0 MCP Server

用于访问 RIB iTWO 4.0 实例的 SQL Server 数据库的只读 MCP 服务器。

工具

• list_schemas – 列出所有模式

• list_tables – 列出某个模式下的表/视图

• search_tables – 按名称在所有模式中搜索表

• describe_table – 列出列、类型、可空性

• run_query – 执行任意 SELECT 语句（强制只读）

Related MCP server: mcp-sqlserver-readonly

设置

1. 安装 ODBC 驱动：在 Windows 上安装 Microsoft ODBC Driver 18 for SQL Server。

2. 创建数据库用户：在 SQL Server 上为 iTWO 数据库创建一个具有 db_datareader 角色（只读）的登录名。服务端权限才是真正的安全保障——服务器中的查询过滤只是额外的一层保护。

3. 安装依赖：

   cd "C:\Users\schol\Desktop\MCP Datenbank"
   python -m venv .venv
   .venv\Scripts\Activate.ps1
   pip install -e .

4. 配置：将 .env.example 复制为 .env 并填写访问凭据。

   Copy-Item .env.example .env

5. 本地测试：

   python -m rib_itwo_mcp.server

在 Coolify 上部署

服务器作为 HTTP 服务运行（传输方式为 streamable-http），以便 Claude 可以远程连接。ODBC 驱动已包含在 Dockerfile 中，Coolify 主机本身无需安装数据库客户端。

1. 将仓库推送到 Git（GitHub/GitLab 等）。

2. 在 Coolify 中基于该仓库创建新的 Application，构建包：Dockerfile。

3. 在 Coolify 中设置环境变量（来自 .env.example）：

   • DB_SERVER、DB_AME、DB_USER、DB_PASSWORD

   • DB_RIVER=ODBC Driver 18 for SQL Server

   • DB_RUST_SERVER_CERTIFICATE=yes（如果有有效证书则为 no）

   • DB_LLOWED_SCHEMAS、DB_AAX_ROWS 可选

   • MCP_AUTH_TOKEN — 必填，一个长的随机密钥（openssl rand -hex 32），否则端点将暴露在网络上，任何人都可访问

4. 开放端口 8000，或将 Coolify 代理/域名映射到该端口。健康检查路径为 /health。

5. 进行部署。SQL Server 必须能从 Coolify 主机通过网络访问（如有需要，调整防火墙/安全组，端口 1433）。

在 Claude 中添加为连接器（远程/HTTP）

一旦应用可通过例如 https://rib-itwo-mcp.deine-domain.de 访问：

claude mcp add --transport http rib-itwo https://rib-itwo-mcp.deine-domain.de/mcp --header "Authorization: Bearer <dein-MCP_AUTH_TOKEN>"

（在 Claude Desktop/Web 界面中相应地将 URL + Bearer 令牌填写为“Custom Connector”。）

本地作为 stdio 连接器（不使用 Coolify 的替代方案）

对于不使用 HTTP 的纯本地使用，可以设置 MCP_TRANSPORT=stdio：

claude mcp add rib-itwo -e MCP_TRANSPORT=stdio -- "C:\Users\schol\Desktop\MCP Datenbank\.venv\Scripts\python.exe" -m rib_itwo_mcp.server

安全

• run_query 只允许单条 SELECT/WITH 语句，阻止多条语句以及写入/管理性关键字。

• 此外，数据库用户本身应只拥有读取权限（db_datareader），这样安全性就不完全依赖于查询过滤。

• 可选地，可以通过 DB_ALLOWED_SCHEMAS 将访问限制在特定模式。

• DB_MAX_ROWS 限制每次查询的结果集大小。

• 在 HTTP 部署（Coolify）中，MCP_AUTH_TOKEN 是端点前的唯一访问控制——如果没有设置令牌，服务器将对任何具有网络访问权限的人开放。此外，请确保通过 Coolify 代理/域名启用 TLS，以免令牌以明文传输。