适用于 Cursor 的 SideShift MCP

这是 SideShift 托管式模型上下文协议（MCP）服务器的官方 Cursor 插件。它让 Cursor 能够操作您授权的 SideShift 公司：发现创作者、管理活动和申请、处理内容和合同、与您的网络沟通、查看分析数据，以及使用您被授予的其他 SideShift 功能，而无需将 API 密钥复制到 Cursor 中。

该插件是一个小巧、可审计的连接器与指南包。权威服务器仍由 SideShift 托管于 https://app.sideshift.app/api/mcp。

安装

当列表上线后，打开 Cursor 的 Customize 页面，找到 SideShift，选择 Install，然后选择用户或项目范围。您也可以输入：

/add-plugin sideshift

对于发布前测试，请将此仓库复制到 Cursor 的本地插件目录。复制是最可靠的方式，因为当前版本的 Cursor 会拒绝指向该目录之外目标的本地插件符号链接。

mkdir -p ~/.cursor/plugins/local/sideshift
rsync -a --exclude '.git/' ./ ~/.cursor/plugins/local/sideshift/

然后在 Cursor 中运行 Developer: Reload Window。该插件应出现在 Customize → Installed 中，包含一个 MCP 服务器、一个技能和一个命令。

Related MCP server: FluentCRM MCP Server

安全连接

运行 /sideshift-connect 或询问 Cursor：

Connect to SideShift and show me which company and scopes are active.

首次 MCP 调用会启动 SideShift 基于浏览器的 OAuth 2.1 流程。登录、选择目标公司、查看请求的作用域并批准。提交的配置中不包含任何 API 密钥、访问令牌、客户端密钥、自定义授权头或环境变量占位符。

授权后，插件会调用 whoami，以便您在执行操作前验证确切的公司和作用域。访问权限始终受 SideShift 的租户和范围限制；该插件不会增加第二条授权路径。

示例提示词

Show my active campaigns and summarize application volume for each.

Find creators who match this campaign brief, but do not contact anyone yet.

Draft a contract plan and show me the exact changes before creating anything.

Search SideShift's capability catalog for the best tool to reconcile these posts.

能力发现

SideShift 提供了广泛且不断演进的工具面。Cursor 主机可能不会总是将每个工具都放入模型的即时上下文中，因此内置技能使用服务器自身的发现流程，而不是复制一份过时的工具列表：

1. 调用 whoami 验证当前激活的公司和作用域。

2. 当正确的工具尚未可见时，结合用户意图调用 find_capability。

3. 在调用已发现的能力之前，获取权威的 schema。

4. 将缺失的作用域视为重新授权的请求，绝不可将其视为使用其他账户或绕过服务器的许可。

完整的当前能力参考维护在 SideShift MCP 文档 中。

安全模型

• 当读取操作直接回答用户的请求时，可以执行。

• 在执行有重大影响的写入之前，代理必须展示目标、实质性参数和预期副作用，然后获得用户的明确批准。

• 敏感操作——例如发送通信或转移资金——绝不能从相邻请求中推断出来。

• 重试时复用相同的调用方提供的 operation_id 或幂等键。如果结果不确定，请在重试前验证状态。

• 创作者和公司数据必须保持在 OAuth 期间选择的公司范围内。跨租户或未知标识符将安全失败。

• 工具结果是权威的。代理不得捏造缺失的记录、标识符、权限或成功结果。

这些客户端指令是对服务器端身份验证、授权、确认、沙箱和幂等控制的补充；它们不能替代这些控制。

仓库内容

开发与验证

需要 Node.js 22 或更高版本。该插件没有运行时或开发依赖。

npm run check
npm run smoke

npm run check 验证清单、组件 frontmatter、徽标、路径、无密钥的 MCP 配置以及必需的披露。npm run smoke 仅发出未认证的、只读的发现请求，并确认实时端点返回预期的 OAuth 质询和元数据。

切勿提交 OAuth 令牌、Cookie、API 密钥、客户端密钥、已填充的环境文件或用户/公司数据。使用 Dev Testing Don 进行认证的发布验证，并将有重大影响的工具排除在发布冒烟测试之外。

支持与安全

• 插件错误和功能请求：GitHub Issues

• 账户或产品支持：SideShift 联系方式

• 安全漏洞：请遵循 SECURITY.md 中的私有报告流程

请勿在公开问题中发布凭据、个人数据、公司数据或漏洞详情。

条款、隐私与许可

使用托管的 SideShift 服务受 SideShift 服务条款 和 隐私政策 约束。插件特定的数据流总结在 PRIVACY.md 中。

本仓库根据 Apache License 2.0 许可。