Cross Repo Ops MCP

Eine repository-neutrale MCP-Fähigkeitsebene (Model Context Protocol) für kontrollierte lokale Repository-Operationen.

Was es tut

Cross Repo Ops MCP bietet einen sicherheitsgehärteten stdio-JSON-RPC-Server, der begrenzte, richtliniengesteuerte Operationen auf lokalen Git-Repositories bereitstellt:

• Lesen: Baumauflistung, ripgrep-Suche, begrenzte Dateilesevorgänge, git status/diff

• Schreiben: kontextgeprüfte Patches mit create/modify-Unterstützung (nur writable Repositories)

• Aufgaben: Ausführung genehmigter benannter Aufgaben (nur Zulassungsliste, keine beliebigen Shell-Befehle)

• Git: Branches auflisten/erstellen/wechseln, Commit (nur explizit angegebene Dateien), Push (nur origin, nur pushable Repositories)

Related MCP server: void-bridge

Architektur

Cross Repo Ops MCP ist eine repository-neutrale Fähigkeitsebene für kontrollierte lokale Repository-Operationen. Es ist dafür konzipiert, neben einem XcodeIDEapp-Projekt zu liegen, und übernimmt Ideen aus IDE-Dashboard-Scaffolding-Mustern, bleibt jedoch generisch und hängt von keiner spezifischen IDE oder Projektstruktur ab.

Cross Repo Ops MCP = controlled local repository actions (read, patch, git, tasks)

Der Server ist richtliniengetrieben: Repositories, Fähigkeiten, ausgeschlossene Pfade und genehmigte Aufgaben werden alle in einer JSON-Konfiguration deklariert. Im Kern ist keine projektspezifische Logik fest verdrahtet.

Module

Sicherheitsmodell

• Repository-Zulassungsliste: Nur Repositories, die explizit in der Richtlinie aufgeführt sind, sind zugänglich.

• Fähigkeits-Flags: writable und pushable gelten pro Repository und sind standardmäßig false.

• Pfad-Containment: Alle Pfade werden aufgelöst und gegen die Repository-Wurzel geprüft. Traversal (..), absolute Pfade und Symlinks werden abgelehnt.

• Ausschluss sensibler Dateien: .env, *.pem, API-Schlüssel, Tokens, Anmeldedaten und Binärdateien sind vom Lesen und Schreiben ausgeschlossen.

• Patch-Sicherheit: old_text muss exakt übereinstimmen; bei mehreren Übereinstimmungen ist context erforderlich, um eindeutig zu unterscheiden. create=true verweigert das Überschreiben vorhandener Dateien.

• Aufgaben-Zulassungsliste: Aufgaben werden anhand des Namens aus einer serverseitigen Zulassungsliste aufgelöst, nicht aus Benutzereingaben. Keine beliebigen Shell-Befehle.

• Git-Sicherheit: Bulk-Staging (git add -A) wird abgelehnt. Commits sind auf explizit aufgeführte Dateien beschränkt. Sensible Dateien können nicht committet werden. Branchnamen werden gegen Injektion validiert. Push ist auf origin beschränkt, nur für pushable Repositories.

• Ausgabelimits: Alle Operationen haben konfigurierbare Ausgabegrenzen (gelesene Zeichen, Suchergebnisse, Baum-Einträge, Diff-Zeichen, Aufgabenausgabe).

Installation

# No external dependencies required — Python 3.10+ standard library only.
cd cross-repo-ops
pip install -e .  # optional, for package install

Verwendung

MCP-Server ausführen

python3 -m cross_repo_ops

Der Server lauscht über stdin/stdout auf JSON-RPC-2.0-Nachrichten.

Benutzerdefinierte Richtlinie

CROSS_REPO_OPS_CONFIG=/path/to/policy.json python3 -m cross_repo_ops

Format der Richtliniendatei

{
  "repos": {
    "myrepo": {
      "root": "/path/to/repo",
      "writable": true,
      "pushable": false
    }
  },
  "tasks": {
    "myrepo": {
      "build": {
        "command": ["xcodebuild", "-scheme", "MyApp", "build"],
        "cwd": "{root}",
        "timeout": 180
      },
      "test": {
        "command": ["xcodebuild", "test", "-scheme", "MyApp"],
        "cwd": "{root}",
        "timeout": 300
      }
    }
  }
}

MCP-Tools

Tests

python3 -m unittest tests.test_security tests.test_adversarial -v

32 Tests, die Folgendes abdecken:

• Erlaubte und blockierte Lesevorgänge

• Ablehnung von Pfad-Traversal, absoluten Pfaden und Symlink-Escapes

• Blockierung des Lesens/Schreibens/Committens sensibler Dateien

• Durchsetzung von writable gegenüber read-only Repositories

• Patch mit korrektem/veraltetem Kontext

• Patch, der auf ausgeschlossene Dateien abzielt

• Zulassungsliste für benannte Aufgaben (Erfolg, unbekannter Name, Shell-Injektionsversuch)

• Task-Timeout und Ausgabekürzung

• git status/diff

• Schutzmaßnahmen gegen Branchnamen-Injektion

• Commit-Schutzmaßnahmen (leere Nachricht, sensible Dateien, Bulk-Staging, bereits gestagte Dateien)

• Push-Ablehnung für nicht pushable Repositories

• Behandlung fehlender Argumente durch den Server

Lizenz

MIT