viewer で tools/list  →  ping, echo
admin  で tools/list  →  ping, echo, server_config

viewer が server_config を呼ぶ  →  "Tool server_config not found"

レート制限（カウンターを見るだけ）
    ↓
認証（暗号計算が走る）
    ↓
サーバー組み立て（一番重い）

git clone <このリポジトリ>
cd mcp-role-server
pnpm install

# 環境変数を用意する
cp .env.example .env.local

# シークレットを生成して .env.local の MCP_SHARED_SECRET に入れる
node -e "console.log(require('crypto').randomBytes(32).toString('base64url'))"

pnpm dev

SECRET="（.env.local に入れた値）"

curl -s -X POST http://localhost:3000/api/mcp \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -H "Authorization: Bearer $SECRET" \
  -H "X-User-Role: viewer" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list","params":{}}'

import { z } from "zod";
import type { ToolEntry } from "./types";

export const myTool: ToolEntry = {
  name: "my_tool",
  roles: ["admin"],          // ← ここに書いた役割にだけ公開される
  register(server) {
    server.registerTool(
      "my_tool",
      {
        title: "My tool",
        description: "AI がこれを読んで、使うかどうかを判断します。",
        inputSchema: { query: z.string().min(1) },
      },
      async ({ query }) => ({
        content: [{ type: "text", text: JSON.stringify({ result: query }) }],
      }),
    );
  },
};

export const TOOLS: ToolEntry[] = [pingTool, echoTool, serverConfigTool, myTool];

Authorization: Bearer <正しいトークン>
X-User-Role: admin          ← 送れば admin になれる

src/
├── app/api/mcp/route.ts        HTTPの入口（レート制限 → 認証 → 応答）
└── features/mcp/
    ├── auth.ts                 Bearer検証・役割の正規化
    ├── rate-limit.ts           固定ウィンドウのレート制限
    ├── server.ts               役割に合うツールだけを載せてサーバーを組み立てる
    └── tools/
        ├── types.ts            ツール定義の型
        ├── index.ts            ★ ツールの一覧（ここに足す）
        ├── ping.ts             引数なしの例
        ├── echo.ts             引数ありの例（zod による入力検証）
        ├── server-config.ts    admin 限定の例
        └── weather.ts          外部APIを呼ぶ例（不要なら削除してよい）