CodeWeave

CodeWeave es un servidor MCP local-first que proporciona a un cliente de codificación de IA búsqueda precisa, ediciones protegidas, operaciones Git, inteligencia semántica y ejecución acotada de Bash dentro de un único repositorio.

Está diseñado para desarrolladores que quieren herramientas de codificación capaces sin cambiar silenciosamente de repositorio, ocultar ediciones parciales ni enviar toda una máquina a un servicio remoto.

Inicio rápido

Necesitas Rust, Git y Bash. Los usuarios de Windows pueden usar el Bash incluido con Git para Windows.

cargo install --git https://github.com/abhij1306/codeweave --locked
codeweave install

El instalador interactivo:

• pregunta qué repositorio debe servir CodeWeave;

• recomienda stdio local o configura HTTP en bucle de retorno;

• crea config.json y un token de origen privado;

• comprueba Git, Bash, el espacio de trabajo, la configuración, los permisos del token, el puerto y el arranque anticipado del índice;

• imprime un comando de cliente MCP listo para pegar.

Para automatización, omite el asistente:

codeweave init --path /absolute/path/to/repository --config config.json
codeweave doctor --config config.json

Related MCP server: MatterAI MCP Server

Conectar un cliente

Clientes locales: stdio

Stdio es el transporte más simple y seguro. El instalador imprime un bloque como:

{
  "command": "/absolute/path/to/codeweave",
  "args": ["serve", "--transport", "stdio", "--config", "/absolute/path/to/config.json"]
}

Pégalo en cualquier cliente MCP que acepte un comando local.

HTTP en bucle de retorno

codeweave serve --transport http --config config.json

El endpoint local es http://127.0.0.1:8813/mcp por defecto. HTTP requiere el bearer almacenado en .mcp-token; el token es una credencial de origen privado, no una clave API de LLM ni una autenticación de usuario externa.

Clientes remotos

Nunca publiques el origen de bucle de retorno simplemente inyectando su bearer en cada solicitud pública. Una puerta de enlace pública debe autenticar primero a cada llamante externo, luego añadir el bearer de origen privado para el salto a CodeWeave.

El asistente de PowerShell incluido utiliza autenticación HTTP Basic obligatoria en ngrok antes de sustituir el bearer de origen:

.\start-ngrok.ps1 -Config .\config.json

PowerShell solicita el nombre de usuario y la contraseña públicos. Usa este asistente solo con clientes que soporten credenciales Basic. Los conectores alojados solo con URL necesitan una puerta de enlace MCP compatible con OAuth. Consulta Configuración de ChatGPT y Configuración de Claude.

Lo que expone CodeWeave

CodeWeave anuncia una superficie fija de 25 herramientas:

• descubrimiento: workspace, code_retrieve, code_intelligence;

• edición protegida: code_write, code_replace, code_replace_range, code_insert, code_delete, code_rename, code_preview, code_transaction;

• Git: git_status, git_diff, git_log, git_show, git_blame, git_preflight, git_stage, git_commit, git_restore, git_push;

• comandos: bash, bash_status, bash_output, bash_cancel.

El repositorio es fijo durante la vida del proceso. Todos los clientes conectados comparten las mismas mutaciones del espacio de trabajo, generación y ejecuciones de Bash.

Modelo de seguridad

CodeWeave es una herramienta de desarrollo privilegiada. Un cliente autenticado puede ejecutar Bash sin sandbox como tu cuenta del sistema operativo, así que conecta solo clientes y modelos en los que confíes.

El servidor aún impone invariantes más restrictivas en torno a esa confianza:

• las lecturas y escrituras de archivos están confinadas por capacidades al espacio de trabajo configurado;

• los hashes de instantáneas, los manejadores de rangos y las comprobaciones de contenido esperado protegen las ediciones;

• las ediciones de múltiples archivos informan honestamente sobre la aplicación parcial y los fallos de recuperación;

• los argumentos de ruta de Git y las operaciones destructivas utilizan validación y confirmación explícita;

• la autenticación HTTP ocurre antes de una lectura acotada de 4 MiB del cuerpo de la solicitud;

• el origen acepta solo HTTP/1 y limita las conexiones concurrentes;

• los archivos bearer usan 0600 en Unix y una DACL explícita protegida en Windows.

Lee SECURITY.md antes de exponer HTTP más allá del bucle de retorno.

Configuración

codeweave install crea una configuración estricta configVersion: 2. Los campos desconocidos son rechazados, incluidos los campos anidados desconocidos. Consulta config.example.json para cada opción.

Comandos útiles:

codeweave doctor --config config.json
codeweave serve --transport stdio --config config.json
codeweave serve --transport http --config config.json

Los backends semánticos opcionales son rust-analyzer, basedpyright-langserver y typescript-language-server. Están deshabilitados hasta que se habiliten en la configuración generada.

No confirmes config.json, .mcp-token ni .codeweave-cache/.

Actualización

Instala la versión más reciente desde GitHub:

cargo install --git https://github.com/abhij1306/codeweave --locked --force
codeweave doctor --config /path/to/config.json

Las versiones antiguas de Windows creaban archivos bearer con permisos heredados. Si doctor rechaza dicho archivo, detén CodeWeave, elimina solo el archivo de token configurado e inícialo de nuevo para que el token se rote con una DACL protegida.

Desarrollo

git clone https://github.com/abhij1306/codeweave.git
cd codeweave
cargo fmt --check
cargo clippy --all-targets --all-features -- -D warnings
cargo test --all-targets

Las garantías de arquitectura y concurrencia se encuentran en docs/architecture.md. Los contratos de las herramientas están documentados en docs/tools.md, y las contribuciones son bienvenidas a través de CONTRIBUTING.md.