fd-find-data-business-mcp

Servidor MCP comercial, protegido por inicio de sesión, que sirve los datos rastreados propios de FindData a usuarios de pago. Depende de fd-open-data-mcp como biblioteca y reutiliza su caché, despacho y catálogo, pero no expone ninguna identidad de proveedor upstream en las respuestas. Cada valor está etiquetado como finddata; ninguna clave source_used / real_source_used llega jamás a un cliente.

Herramientas

Instalación

pip install fd-find-data-business-mcp

Ejecutar (desarrollo local, sin autenticación)

export FD_OPEN_DATA_MCP_DATABASE_URL=postgresql://fd:***@localhost:30432/fd_open_data
fd-find-data-business-mcp serve --transport http --host 0.0.0.0 --port 8310

Con FDBIZ_JWKS_URI sin definir, la autenticación está deshabilitada (prueba de humo / desarrollo local). Defínela en el despliegue para rechazar toda solicitud sin un JWT válido emitido por Logto (401 antes de que se ejecute cualquier herramienta).

Despliegue (zihan k3s, namespace fd-mcp)

La autenticación es Logto (JWT RS256) mediante el JWTVerifier de FastMCP. La instancia canónica de Logto se ejecuta en guangzhou-xinru:

Estas cuatro claves se añaden al Secret compartido fd-mcp-env (ya contiene FD_OPEN_DATA_MCP_DATABASE_URL / REDIS_URL — el pod de negocio las reutiliza; MCP_BEARER_TOKEN de los pods hermanos es inerte aquí, este pod usa autenticación JWT, no bearer):

# on zihan (sudo kubectl)
sudo kubectl -n fd-mcp create secret generic fd-mcp-env \
  --from-literal=FD_OPEN_DATA_MCP_DATABASE_URL='postgresql://fd:***@100.64.0.3:30432/fd_open_data' \
  --from-literal=REDIS_URL='redis://:***@100.64.0.3:30380/0' \
  --from-literal=FDBIZ_JWKS_URI='https://auth.finddatatech.cloud/oidc/jwks' \
  --from-literal=FDBIZ_ISSUER='https://auth.finddatatech.cloud/oidc' \
  --from-literal=FDBIZ_AUDIENCE='https://api.finddatatech.cloud/mcp' \
  --dry-run=client -o yaml | sudo kubectl apply -f -
sudo kubectl -n fd-mcp apply -f k8s/zihan/40-fd-find-data-business-mcp.yaml

Accesible a través de la malla en http://100.64.0.4:30803/mcp (zihan NodePort 30803).

Logto: registrar el recurso de API

En la consola de administración de Logto (https://auth-admin.finddatatech.cloud), crea un recurso de API con identificador https://api.finddatatech.cloud/mcp (este se convierte en la reclamación aud en los tokens emitidos y debe ser igual a FDBIZ_AUDIENCE). Crea un cliente (M2M o SPA de primera parte) autorizado para esa audiencia; los tokens de los usuarios de pago deben incluir aud: https://api.finddatatech.cloud/mcp.

Publicación

Publicación de confianza OIDC: la etiqueta v* activa .github/workflows/release.yml (build → twine check → prueba de humo del wheel → publicación en PyPI). La imagen de Harbor se construye mediante .github/workflows/docker-publish.yml al hacer push a main / etiquetas.