myhotlunchbox-mcp

面向 My Hot Lunchbox 的 MCP 服务器——读取学校午餐日历、管理学生、下单和改单，并在家长账户上跟踪配送和付款。

由 AI（Claude Code）开发和维护。请自行斟酌使用。

安装

npx myhotlunchbox-mcp

或作为 Claude Code 插件安装：

/plugin marketplace add chrischall/myhotlunchbox-mcp
/plugin install myhotlunchbox-mcp

Related MCP server: Corben MCP Server

配置

MYHOTLUNCHBOX_USERNAME=you@example.com
MYHOTLUNCHBOX_PASSWORD=…

这就是全部配置。服务器会对 ordernow.myhotlunchbox.com 执行真实的服务器端登录（OAuth2 密码授权），并使用收到的刷新令牌续期会话——无需浏览器扩展、无需已登录的标签页、无需捕获 cookie。不会向磁盘写入任何内容。

如果应用源地址发生变化，MYHOTLUNCHBOX_BASE_URL 可覆盖应用源。

服务器在无凭据的情况下启动，因此宿主机安装时的 tools/list 探测仍然可用；配置错误会在第一次工具调用时显现。

工具

34 个工具，全部以 mhlb_ 为前缀。全部 20 个读取工具已针对真实家长账户在线验证（node scripts/verify-reads.mjs）；14 个写入工具未经验证——见下文。

账户 — mhlb_whoami、mhlb_session_reset

学生 — mhlb_list_students、mhlb_get_student_form、 mhlb_new_student_form、mhlb_create_student、mhlb_update_student、 mhlb_delete_student

日历 — mhlb_get_calendar、mhlb_get_day

下单 — mhlb_get_cart、mhlb_get_cart_tabs、mhlb_get_menu、 mhlb_get_order_form、mhlb_get_order、mhlb_create_order、 mhlb_update_order、mhlb_delete_order

账单 — mhlb_list_transactions、mhlb_get_transaction、 mhlb_list_subscriptions、mhlb_get_subscription_settings、 mhlb_set_subscription_enabled、mhlb_unsubscribe_order、 mhlb_list_gift_cards、mhlb_apply_gift_card、mhlb_get_coupon、 mhlb_apply_coupon、mhlb_remove_coupon

结算 — mhlb_init_checkout、mhlb_checkout

报表 — mhlb_print_calendar、mhlb_print_orders、 mhlb_print_transaction。这些工具返回真实的 PDF；每个工具都会写入文件并返回文件路径，或使用 inline: true 以内联字节形式返回。设置 MYHOTLUNCHBOX_OUTPUT_DIR 可选择文件保存位置（默认为工作目录）；现有文件绝不会被覆盖。

写入操作需确认门控

每个变更工具都接受 confirm 参数。没有 confirm: true 时，它不会发起任何网络调用，而是返回一个干运行预览，精确展示它将发送的内容。

mhlb_checkout 会从真实支付方式扣款。服务器根据 orderIds 计算扣款金额，因此客户端无法绑定金额——请求中没有可供核对的总金额。因此 expectedTotal 是归因而非防护：你声明预期金额，该金额会被记录在干运行和结果中，以便意外扣款可追溯到发起该调用的请求。该工具明确拒绝的唯一情况是：在没有 orderIds 的情况下支付非零金额。

写入操作：已捕获请求结构，但未验证服务端是否接受

npm run capture:writes 会针对本地代理运行每个变更工具，该代理将读取请求转发到真实服务，但自行应答写入请求，因此请求体是基于真实的服务器模型构建的，上游不会发生任何操作。它还证明了全部 13 个工具在没有 confirm: true 的情况下都会拒绝发送任何内容。

由此确定并修正的内容：mhlb_delete_order 和 mhlb_unsubscribe_order 接受 {orderId, eventDate, studentId, isRepeated, isSubscribed}——而非订单模型——结算接受 {orderIds, checkoutType, couponCode, giftCardCode, schoolDonations}。

仍未验证的是服务器是否接受这些请求体。 结构不等于被接受；只有真实的写入才能证明这一点，而目前尚未进行过任何真实写入。确认前请检查干运行预览，确认后请再次查看——200 并不能证明写入已持久化。

mhlb_checkout 有两个特定限制：

• 它只能使用账户上已保存的卡进行支付。使用新卡支付需要由浏览器中的 Stripe.js 铸造 Stripe 令牌，任何服务端客户端都无法生成。

• 它会生成一个幂等键并返回。如果结算以不明确的方式失败，请使用相同的 idempotencyKey 重试，而不是发起新的调用——这正是防止重试变成第二次扣款的机制。

下单是读-改-写模式

没有"添加商品 X"这样的调用。获取模型、编辑、整体发回：

1. mhlb_get_menu — 某学生在某日期可订购的内容

2. mhlb_get_order_form — 需要填写的订单模型

3. mhlb_create_order — 发回（带 confirm: true）

4. mhlb_init_checkout → mhlb_checkout — 计价，然后支付

请求体中省略的字段会被清空，而非保留。

Shell 技能

skills/myhotlunchbox 使用 curl 从 shell 覆盖同一账户——无需 MCP 进程。适用于脚本，或未安装此服务器的机器。

备注

• 编译后的客户端中 /deliveryInfo/* 和 /calendar/viewMatchedVendors 看起来面向家长，但对家长账户返回 403——它们属于学校/供应商仪表盘。没有工具封装它们。

• 仅接入了家长角色。同一 API 也服务于学校管理员和供应商角色；这些端点返回 403，客户端将其报告为角色不匹配，而非会话故障。

• docs/MYHOTLUNCHBOX-API.md 记录了 API 的映射方式以及已验证的确切内容。docs/api-surface.txt 是完整的 359 个端点提取结果。

许可证

MIT