Cross Repo Ops MCP

Una capa de capacidades MCP (Model Context Protocol) independiente del repositorio para operaciones controladas en repositorios locales.

Qué hace

Cross Repo Ops MCP proporciona un servidor stdio JSON-RPC reforzado en seguridad que expone operaciones acotadas y controladas por políticas en repositorios git locales:

• Lectura: listado de árbol, búsqueda con ripgrep, lecturas de archivos acotadas, git status/diff

• Escritura: parches verificados por contexto con soporte de creación/modificación (solo repositorios con permiso de escritura)

• Tareas: ejecución de tareas nombradas aprobadas (solo allowlist, sin shell arbitrario)

• Git: listar/crear/cambiar ramas, commit (solo archivos explícitos), push (solo origin, solo repositorios con permiso de push)

Related MCP server: void-bridge

Arquitectura

Cross Repo Ops MCP es una capa de capacidades independiente del repositorio para operaciones controladas en repositorios locales. Está diseñado para ubicarse junto a un proyecto XcodeIDEapp, tomando ideas de patrones de andamiaje de paneles de IDE, pero sigue siendo genérico y no depende de ningún IDE o estructura de proyecto específica.

Cross Repo Ops MCP = controlled local repository actions (read, patch, git, tasks)

El servidor se basa en políticas: los repositorios, las capacidades, las rutas excluidas y las tareas aprobadas se declaran en una configuración JSON. No hay lógica específica del proyecto codificada en el núcleo.

Módulos

Modelo de seguridad

• Allowlist de repositorios: Solo los repositorios explícitamente listados en la política son accesibles.

• Flags de capacidad: writable y pushable son por repositorio, con valor predeterminado false.

• Contención de rutas: Todas las rutas se resuelven y verifican contra la raíz del repositorio. Se rechazan traversal (..), rutas absolutas y symlinks.

• Exclusión de archivos sensibles: .env, *.pem, claves de API, tokens, credenciales y archivos binarios están bloqueados para lectura y escritura.

• Seguridad de parches: old_text debe coincidir exactamente; las coincidencias múltiples requieren context para desambiguar. create=true se niega a sobrescribir archivos existentes.

• Allowlist de tareas: Las tareas se resuelven por nombre desde una allowlist del lado del servidor, no desde la entrada del usuario. No hay comandos de shell arbitrarios.

• Seguridad de Git: Se rechaza el staging masivo (git add -A). Los commits se limitan a archivos explícitamente listados. Los archivos sensibles no se pueden incluir en commits. Los nombres de rama se validan contra inyección. El push se limita a origin solo para repositorios con permiso de push.

• Límites de salida: Todas las operaciones tienen topes de salida configurables (caracteres de lectura, resultados de búsqueda, entradas de árbol, caracteres de diff, salida de tareas).

Instalación

# No external dependencies required — Python 3.10+ standard library only.
cd cross-repo-ops
pip install -e .  # optional, for package install

Uso

Ejecutar el servidor MCP

python3 -m cross_repo_ops

El servidor escucha en stdin/stdout mensajes JSON-RPC 2.0.

Política personalizada

CROSS_REPO_OPS_CONFIG=/path/to/policy.json python3 -m cross_repo_ops

Formato del archivo de política

{
  "repos": {
    "myrepo": {
      "root": "/path/to/repo",
      "writable": true,
      "pushable": false
    }
  },
  "tasks": {
    "myrepo": {
      "build": {
        "command": ["xcodebuild", "-scheme", "MyApp", "build"],
        "cwd": "{root}",
        "timeout": 180
      },
      "test": {
        "command": ["xcodebuild", "test", "-scheme", "MyApp"],
        "cwd": "{root}",
        "timeout": 300
      }
    }
  }
}

Herramientas MCP

Pruebas

python3 -m unittest tests.test_security tests.test_adversarial -v

32 pruebas que cubren:

• Lecturas permitidas y bloqueadas

• Rechazo de traversal de rutas, rutas absolutas y escapes por symlink

• Bloqueo de lectura/escritura/commit de archivos sensibles

• Aplicación de repositorios con permiso de escritura frente a solo lectura

• Parche con contexto correcto o desactualizado

• Parche dirigido a archivos excluidos

• Allowlist de tareas nombradas (éxito, nombre desconocido, intento de inyección de shell)

• Timeout de tarea y truncamiento de salida

• Git status/diff

• Salvaguardas contra inyección en nombres de rama

• Salvaguardas de commit (mensaje vacío, archivos sensibles, staging masivo, archivos pre-stageados)

• Rechazo de push para repositorios sin permiso de push

• Manejo de argumentos faltantes en el servidor

Licencia

MIT