Cross Repo Ops MCP

Нейтральный к репозиторию уровень возможностей MCP (Model Context Protocol) для контролируемых операций с локальными репозиториями.

Что он делает

Cross Repo Ops MCP предоставляет защищённый stdio JSON-RPC сервер, который обеспечивает ограниченные, контролируемые политикой операции с локальными git-репозиториями:

• Чтение: список дерева, поиск ripgrep, ограниченное чтение файлов, git status/diff

• Запись: патчи с проверкой контекста с поддержкой создания/изменения (только для writable-репозиториев)

• Задачи: выполнение одобренных именованных задач (только по списку разрешений, без произвольного shell)

• Git: список/создание/переключение веток, коммит (только явно указанные файлы), push (только origin, только для pushable-репозиториев)

Related MCP server: void-bridge

Архитектура

Cross Repo Ops MCP — это нейтральный к репозиторию уровень возможностей для контролируемых операций с локальными репозиториями. Он спроектирован для размещения рядом с проектом XcodeIDEapp, заимствуя идеи из паттернов каркаса IDE-дашбордов, но остаётся универсальным и не зависит от какой-либо конкретной IDE или структуры проекта.

Cross Repo Ops MCP = controlled local repository actions (read, patch, git, tasks)

Сервер управляется политикой: репозитории, возможности, исключённые пути и одобренные задачи объявляются в JSON-конфиге. В ядре не зашита никакая специфичная для проекта логика.

Модули

Модель безопасности

• Список разрешений репозиториев: Доступны только те репозитории, которые явно перечислены в политике.

• Флаги возможностей: writable и pushable задаются для каждого репозитория, по умолчанию false.

• Ограничение путей: Все пути разрешаются и проверяются относительно корня репозитория. Обход (..), абсолютные пути и симлинки отклоняются.

• Исключение чувствительных файлов: .env, *.pem, API-ключи, токены, учётные данные и бинарные файлы блокируются для чтения и записи.

• Безопасность патчей: old_text должен совпадать точно; при нескольких совпадениях требуется context для устранения неоднозначности. create=true отказывается перезаписывать существующие файлы.

• Список разрешений задач: Задачи разрешаются по имени из серверного списка разрешений, а не из пользовательского ввода. Никаких произвольных shell-команд.

• Безопасность Git: Массовое добавление в индекс (git add -A) отклоняется. Коммиты ограничены явно перечисленными файлами. Чувствительные файлы не могут быть закоммичены. Имена веток проверяются на инъекции. Push ограничен origin и только для pushable-репозиториев.

• Лимиты вывода: Все операции имеют настраиваемые ограничения вывода (символы при чтении, результаты поиска, записи дерева, символы diff, вывод задач).

Установка

# No external dependencies required — Python 3.10+ standard library only.
cd cross-repo-ops
pip install -e .  # optional, for package install

Использование

Запуск MCP-сервера

python3 -m cross_repo_ops

Сервер принимает сообщения JSON-RPC 2.0 через stdin/stdout.

Пользовательская политика

CROSS_REPO_OPS_CONFIG=/path/to/policy.json python3 -m cross_repo_ops

Формат файла политики

{
  "repos": {
    "myrepo": {
      "root": "/path/to/repo",
      "writable": true,
      "pushable": false
    }
  },
  "tasks": {
    "myrepo": {
      "build": {
        "command": ["xcodebuild", "-scheme", "MyApp", "build"],
        "cwd": "{root}",
        "timeout": 180
      },
      "test": {
        "command": ["xcodebuild", "test", "-scheme", "MyApp"],
        "cwd": "{root}",
        "timeout": 300
      }
    }
  }
}

Инструменты MCP

Тестирование

python3 -m unittest tests.test_security tests.test_adversarial -v

32 теста, покрывающие:

• Разрешённые и заблокированные чтения

• Отклонение обхода путей, абсолютных путей и побега через симлинки

• Блокировка чтения/записи/коммита чувствительных файлов

• Принудительное соблюдение writable и read-only репозиториев

• Патч с корректным/устаревшим контекстом

• Патч, нацеленный на исключённые файлы

• Список разрешений именованных задач (успех, неизвестное имя, попытка shell-инъекции)

• Таймаут задачи и усечение вывода

• Git status/diff

• Защита от инъекций в именах веток

• Защита коммитов (пустое сообщение, чувствительные файлы, массовое добавление в индекс, предварительно проиндексированные файлы)

• Отклонение push для non-pushable репозиториев

• Обработка отсутствующих аргументов сервером

Лицензия

MIT