otama

Ein MCP-Server, der KI-Assistenten — Cursor, Claude Desktop oder deinen eigenen Sprachassistenten — Zugriff auf deine lokalen Git-Repositories gewährt.

Lesezugriffe laufen frei. Alles, was schreibt, liefert zuerst einen Bestätigungstoken und eine Zusammenfassung in einfachem Englisch und wird erst dann tät, wenn es ein zweites Mal mit diesem Token aufgerufen wird. Der Assistent fragt, bevor er committet.

You:  commit my changes in api-service with message "fix auth timeout"
LLM:  Commit 3 changed files in api-service with message 'fix auth timeout'. Confirm?
You:  yes
LLM:  Committed — a4f21c9 fix auth timeout

Warum

Die meisten Dateisystem-MCP-Server geben einem Modell uneingeschränkten Lese- und Schreibzugriff auf einen Verzeichnisbaum. Das ist in Ordnung, wenn du jeden Tool-Aufruf beobachtest. Das ist nicht in Ordnung, wenn das Modell einen Sprachassistenten steuert, unbeaufsichtigt läuft oder dich gerade falsch verstanden hat.

otama geht davon aus, dass das Modell gelegentlich falsch geraten kann, und hält die Folgen klein:

• Eine Pfad-Sandbox. Jeder Pfad wird vor seiner Prüfung gegen deine konfigurierten Roots aufgelöst. .., Symlinks und absolute Pfade können nicht entkommen.

• Zweiphasige Bestätigung. Schreib- und Ausführungstools, die ohne Token aufgerufen werden, tun nichts anderes, als zu beschreiben, was sie tun würden. Tokens gelten nur einmal, verfallen nach zwei Minuten und sind an das Tool gebunden, das sie ausgestellt hat.

• Eine Befehls-Allowlist. run_command lehnt alles außerhalb der Liste kategorisch ab, statt es zur Bestätigung vorzulegen. Ein Missverständnis sollte nie nur ein „Ja" voncel zwischen rm -rf entfernt sein.

Related MCP server: Git MCP Server

Installieren

Benötigt Python 3.11+ und git im PATH.

git clone https://github.com/Ronith2906/otama.git
cd otama
python -m venv .venv
.venv/bin/pip install -r requirements.txt          # Windows: .venv\Scripts\pip.exe
cp otama.example.toml otama.toml

Bearbeite otama.toml und setze project_roots auf den oder die Ordner, die deine Repositories enthalten. Verwende unter Windows Vorwärtsschrägstriche.

[projects]
project_roots = ["C:/Users/you/code"]

Prüfen:

.venv/bin/python -c "import asyncio; from projects_server import otama; print([t.name for t in asyncio.run(otama.list_tools())])"

Zehn Toolnamen bedeuten, dass der Server läuft.

Verbinden

Cursor — ~/.cursor/mcp.json. Claude Desktop — claude_desktop_config.json (Einstellungen → Entwickler → Konfiguration bearbeiten). Diesel falls die Struktur gleich:

{
  "mcpServers": {
    "otama-projects": {
      "command": "/absolute/path/to/otama/.venv/bin/python",
      "args": ["/absolute/path/to/otama/projects_server.py"]
    }
  }
}

Verwende unter Windows \\ in JSON-Pfaden — C:\\Users\\you\\otama\\.venv\\Scripts\\python.exe.

Starte die App vollständig neu. Einzelne neu zu verkraften reicht nicht; MCP-Server werden beim Start geladen.

Tools

Lesen — wird sofort ausgeführt

Schreiben und Ausführen — Bestätigung erforderlich

Konfiguration

[projects]
project_roots            = ["C:/Users/you/code"]
max_file_bytes           = 200000   # refuse to read anything larger
command_timeout_seconds  = 120
confirmation_ttl_seconds = 120      # how long a token stays valid

# run_command refuses anything not on this list. This is not something a
# confirmation can override — add what you actually use.
allowed_commands = ["git","npm","npx","pnpm","yarn","node",
                    "python","py","pip","pytest","ruff","uv",
                    "dotnet","cargo","go"]

Hinweise für Mitwirkende

Das Zwei-Phasen-Muster liegt in stage(), redeem() und _expire(). Wenn du ein Tool mit Nebeneffekten hinzufügst, verwende es.

Eine Besonderheit, die es zu bewahren gilt: redeem() konsumiert den Confirm auf jeden anderen nicht, wenn die Tool-Art nicht nicht übereinstimmen. Aber der Fall: Ein Modell, das versehentlich das falsche Tool aufruft, darf die Freigabe des Nutzers nicht verbrauchen, also soll der Nutzer nicht gezwungen werden, alles noch einmal zu bestätigen. Das war ein echter Bug, entdeckt beim Testen.

Neue Clone-Server sollten derselben Struktur folgen — eine Datei, eine Domäne, Lesetools gnadenlos bei Tools ohne Einschränkung (read), Schreibetools mit Gating, und wenn eine Aktion außerhalb dieses Rahmens liegt: verweigern statt bestätigen.

Status

Frühphase. Die projects Server ist getestet und wird täglich verwendet; weitere Capability-Server (Medien, Mail, Browser) sind im Rahmen eines größeren Sprachassistenten-Projekts geplant. Issues und Pull Requests sind willkommen.

Lizenz

MIT