Cross Repo Ops MCP

一个仓库中立的 MCP（Model Context Protocol）能力层，用于受控的本地仓库操作。

功能

Cross Repo Ops MCP 提供了一个安全加固的 stdio JSON-RPC 服务器，可在本地 git 仓库上暴露有界、受策略控制的操作：

• 读取：目录树列表、ripgrep 搜索、有界文件读取、git status/diff

• 写入：带 create/modify 支持的上下文校验补丁（仅可写仓库）

• 任务：已批准的命名任务执行（仅限允许列表，不允许任意 shell 命令）

• Git：列出/创建/切换分支、提交（仅显式列出的文件）、推送（仅 origin，且仅可推送仓库）

Related MCP server: void-bridge

架构

Cross Repo Ops MCP 是一个仓库中立的能力层，用于受控的本地仓库操作。它被设计为位于 XcodeIDEapp 项目旁边，借鉴了 IDE 仪表盘脚手架模式的思路，但保持通用，不依赖任何特定的 IDE 或项目结构。

Cross Repo Ops MCP = controlled local repository actions (read, patch, git, tasks)

该服务器是策略驱动的：仓库、能力、排除路径和已批准任务都在 JSON 配置中声明。核心中没有硬编码任何项目特定的逻辑。

模块

安全模型

• 仓库允许列表：只有策略中显式列出的仓库才可访问。

• 能力标志：writable 和 pushable 按仓库设置，默认 false。

• 路径包含性：所有路径都会解析并对照仓库根目录进行检查。拒绝路径遍历（..）、绝对路径和符号链接。

• 敏感文件排除：.env、*.pem、API 密钥、令牌、凭据和二进制文件被阻止读取和写入。

• 补丁安全：old_text 必须精确匹配；多个匹配时需要 context 来消除歧义。create=true 拒绝覆盖已有文件。

• 任务允许列表：任务按名称从服务器端允许列表中解析，而非来自用户输入。不允许任意 shell 命令。

• Git 安全：拒绝批量暂存（git add -A）。提交仅限于显式列出的文件。敏感文件不能被提交。分支名称会针对注入进行校验。推送仅限于 origin，且仅限可推送仓库。

• 输出限制：所有操作都有可配置的输出上限（读取字符数、搜索结果数、目录树条目数、diff 字符数、任务输出）。

安装

# No external dependencies required — Python 3.10+ standard library only.
cd cross-repo-ops
pip install -e .  # optional, for package install

使用方法

运行 MCP 服务器

python3 -m cross_repo_ops

服务器在 stdin/stdout 上监听 JSON-RPC 2.0 消息。

自定义策略

CROSS_REPO_OPS_CONFIG=/path/to/policy.json python3 -m cross_repo_ops

策略文件格式

{
  "repos": {
    "myrepo": {
      "root": "/path/to/repo",
      "writable": true,
      "pushable": false
    }
  },
  "tasks": {
    "myrepo": {
      "build": {
        "command": ["xcodebuild", "-scheme", "MyApp", "build"],
        "cwd": "{root}",
        "timeout": 180
      },
      "test": {
        "command": ["xcodebuild", "test", "-scheme", "MyApp"],
        "cwd": "{root}",
        "timeout": 300
      }
    }
  }
}

MCP 工具

测试

python3 -m unittest tests.test_security tests.test_adversarial -v

32 个测试，涵盖：

• 允许和阻止的读取

• 路径遍历、绝对路径和符号链接逃逸的拒绝

• 敏感文件的读取/写入/提交阻止

• 可写与只读仓库的强制实施

• 正确/过时上下文的补丁

• 针对排除文件的补丁

• 命名任务允许列表（成功、未知名称、shell 注入尝试）

• 任务超时和输出截断

• Git status/diff

• 分支名称注入防护

• 提交防护（空消息、敏感文件、批量暂存、预先暂存的文件）

• 对不可推送仓库的推送拒绝

• 服务器缺少参数的处理

许可证

MIT