myhotlunchbox-mcp

MCP-Server für My Hot Lunchbox — Schulessen-Kalender lesen, Schüler verwalten, Bestellungen aufgeben und ändern sowie Lieferungen und Zahlungen auf einem Elternkonto verfolgen.

Entwickelt und gepflegt von KI (Claude Code). Nutzung auf eigene Verantwortung.

Install

npx myhotlunchbox-mcp

Oder als Claude Code Plugin:

/plugin marketplace add chrischall/myhotlunchbox-mcp
/plugin install myhotlunchbox-mcp

Related MCP server: Corben MCP Server

Configure

MYHOTLUNCHBOX_USERNAME=you@example.com
MYHOTLUNCHBOX_PASSWORD=…

Das ist die gesamte Einrichtung. Der Server führt eine echte serverseitige Anmeldung gegen ordernow.myhotlunchbox.com durch (OAuth2-Passwort-Grant) und erneuert die Sitzung mit dem erhaltenen Refresh-Token — keine Browser-Erweiterung, kein angemeldeter Tab, kein erfasstes Cookie. Es wird nichts auf die Festplatte geschrieben.

MYHOTLUNCHBOX_BASE_URL überschreibt den App-Ursprung, falls dieser jemals wechselt.

Der Server startet ohne Anmeldedaten, sodass eine tools/list-Prüfung des Hosts zur Installationszeit weiterhin funktioniert; der Konfigurationsfehler erscheint beim ersten Tool-Aufruf.

Tools

34 Tools, alle mit dem Präfix mhlb_. Alle 20 Lese-Tools wurden live gegen ein echtes Elternkonto verifiziert (node scripts/verify-reads.mjs); die 14 Schreib-Tools nicht — siehe unten.

Konto — mhlb_whoami, mhlb_session_reset

Schüler — mhlb_list_students, mhlb_get_student_form, mhlb_new_student_form, mhlb_create_student, mhlb_update_student, mhlb_delete_student

Kalender — mhlb_get_calendar, mhlb_get_day

Bestellung — mhlb_get_cart, mhlb_get_cart_tabs, mhlb_get_menu, mhlb_get_order_form, mhlb_get_order, mhlb_create_order, mhlb_update_order, mhlb_delete_order

Abrechnung — mhlb_list_transactions, mhlb_get_transaction, mhlb_list_subscriptions, mhlb_get_subscription_settings, mhlb_set_subscription_enabled, mhlb_unsubscribe_order, mhlb_list_gift_cards, mhlb_apply_gift_card, mhlb_get_coupon, mhlb_apply_coupon, mhlb_remove_coupon

Kasse — mhlb_init_checkout, mhlb_checkout

Berichte — mhlb_print_calendar, mhlb_print_orders, mhlb_print_transaction. Diese geben echte PDFs zurück; jedes schreibt die Datei und gibt ihren Pfad zurück, oder die Bytes inline mit inline: true. Setzen Sie MYHOTLUNCHBOX_OUTPUT_DIR, um festzulegen, wo sie abgelegt werden (Standard ist das Arbeitsverzeichnis); vorhandene Dateien werden nie überschrieben.

Schreibvorgänge sind bestätigungspflichtig

Jedes verändernde Tool akzeptiert confirm. Ohne confirm: true führt es keinen Netzwerkaufruf durch und gibt eine Trockenlauf-Vorschau dessen zurück, was es genau senden würde.

mhlb_checkout belastet eine echte Zahlungsmethode. Der Server berechnet den Betrag aus orderIds, sodass clientseitig nichts den Betrag festlegen kann — es gibt keinen Gesamtbetrag in der Anfrage, gegen den geprüft werden könnte. expectedTotal ist daher Zuordnung, keine Absicherung: Sie geben an, was Sie erwartet haben, und es wird im Trockenlauf und im Ergebnis festgehalten, sodass eine unerwartete Belastung auf den Aufruf zurückgeführt werden kann, der sie verursacht hat. Was das Tool kategorisch ablehnt, ist die Zahlung eines Betrags ungleich Null ohne orderIds.

Schreibvorgänge: Formen erfasst, Akzeptanz unverifiziert

npm run capture:writes führt jedes verändernde Tool gegen einen lokalen Proxy aus, der Lesevorgänge an den echten Dienst weiterleitet, aber Schreibvorgänge selbst beantwortet, sodass die Nutzlasten aus echten Servermodellen erstellt werden und upstream nichts passiert. Es beweist auch, dass alle 13 ohne confirm: true nichts senden.

Was das festgestellt und korrigiert hat: mhlb_delete_order und mhlb_unsubscribe_order akzeptieren {orderId, eventDate, studentId, isRepeated, isSubscribed} — nicht das Bestellmodell — und Checkout akzeptiert {orderIds, checkoutType, couponCode, giftCardCode, schoolDonations}.

Was weiterhin unverifiziert ist, ist, ob der Server diese Körper akzeptiert. Form ist nicht Akzeptanz; nur ein echter Schreibvorgang zeigt das, und keiner wurde durchgeführt. Überprüfen Sie die Trockenlauf-Vorschau vor der Bestätigung und lesen Sie danach erneut — ein 200 ist kein Beweis dafür, dass ein Schreibvorgang persistiert wurde.

Zwei Einschränkungen speziell für mhlb_checkout:

• Es kann nur mit einer bereits gespeicherten Karte auf dem Konto bezahlen. Die Zahlung mit einer neuen Karte erfordert ein Stripe-Token, das von Stripe.js in einem Browser erstellt wird, was kein serverseitiger Client erzeugen kann.

• Es generiert einen Idempotenzschlüssel und gibt ihn zurück. Wenn ein Checkout mehrdeutig fehlschlägt, wiederholen Sie den Vorgang mit demselben idempotencyKey anstatt mit einem neuen Aufruf — das verhindert, dass eine Wiederholung zu einer zweiten Belastung wird.

Bestellung ist Lesen-Ändern-Schreiben

Es gibt keinen Aufruf „Element X hinzufügen". Rufen Sie das Modell ab, bearbeiten Sie es und senden Sie es vollständig zurück:

1. mhlb_get_menu — was für einen Schüler an einem Datum bestellbar ist

2. mhlb_get_order_form — das auszufüllende Bestellmodell

3. mhlb_create_order — senden Sie es zurück (mit confirm: true)

4. mhlb_init_checkout → mhlb_checkout — Preis berechnen, dann bezahlen

Felder, die in der Nutzlast weggelassen werden, werden gelöscht, nicht beibehalten.

Shell-Fähigkeit

skills/myhotlunchbox deckt dasselbe Konto aus einer Shell mit curl ab — kein MCP-Prozess erforderlich. Nützlich in Skripten oder auf einem Rechner, auf dem dieser Server nicht installiert ist.

Notes

• /deliveryInfo/* und /calendar/viewMatchedVendors wirken im kompilierten Client elternorientiert, geben aber für ein Elternkonto 403 zurück — sie gehören zu den Schul-/Anbieter-Dashboards. Kein Tool umschließt sie.

• Nur die Elternrolle ist angebunden. Dieselbe API bedient auch Schuladministrator- und Anbieterrollen; diese Endpunkte geben 403 zurück, was der Client als Rollenkonflikt meldet und nicht als defekte Sitzung.

• docs/MYHOTLUNCHBOX-API.md dokumentiert, wie die API abgebildet wurde und was genau verifiziert ist. docs/api-surface.txt ist die vollständige Extraktion der 359 Endpunkte.

Licence

MIT