mbta-mpc-server

MBTA MCP 服务器

MCP 服务器与 MBTA API 通信以提供波士顿地区的交通信息。

该机器学习控制协议 (MCP) 服务器与马萨诸塞湾交通管理局 (MBTA) API 集成，为波士顿地区提供实时和定时交通信息。它使 AI 助手能够通过标准化接口访问 MBTA 数据。

特征

• 实时交通预测
• 服务警报和中断
• 路线和时刻表信息
• 无障碍信息
• 旅行计划协助
• 基于位置的站点查找

安装

Docker

Go 安装

配置

在环境中设置您的 MBTA API 密钥：

用法

该服务器实现了 MCP stdio 协议，供 AI 助手本地使用。

有关更多详细信息，请参阅规范。

供应链安全

容器镜像签名

所有容器镜像均使用 Sigstore 的 Cosign 无密钥签名功能进行签名。这允许用户验证容器镜像是否由我们的 GitHub Actions CI/CD 流水线构建。

签署安全实践

我们遵循容器镜像签名的最佳实践：

我们只对图片摘要（内容哈希）进行签名——这是最安全的方法，因为摘要是特定内容的唯一且不可变的标识符。通过只对摘要进行签名，我们可以避免由可变标签（例如latest可能引起的任何潜在安全问题。

验证容器镜像

要验证我们的容器镜像，请始终通过摘要进行验证：

软件物料清单 (SBOM)

每次构建都会生成一份全面的软件物料清单 (SBOM)，其中列出了容器镜像中包含的所有组件。SBOM 包括：

1. 在构建过程中生成
2. 使用 actions/attest-sbom 工具通过 GitHub 颁发的证书进行签名
3. 每次构建时均可作为 GitHub Actions 工件使用
4. 通过摘要附加到容器镜像作为证明

要验证 SBOM 证明：

漏洞扫描

我们使用 Trivy 扫描容器镜像以查找漏洞：

1. 容器镜像在构建后会自动扫描
2. 结果以 SARIF 格式上传至 GitHub Security
3. 已报告严重和高危漏洞
4. 扫描重点关注有可用修复程序的漏洞

这些安全措施有助于确保我们的软件供应链从源代码到容器部署都是安全和透明的。

执照

MIT 许可证