MBTA MCP-сервер

Сервер MCP, который взаимодействует с API MBTA для предоставления информации о транспорте в районе Бостона.

Этот сервер протокола управления машинным обучением (MCP) интегрируется с API Управления транспорта залива Массачусетс (MBTA) для предоставления информации о транзите в реальном времени и по расписанию для района Бостона. Он позволяет помощникам ИИ получать доступ к данным MBTA через стандартизированный интерфейс.

Функции

• Прогнозы транзита в реальном времени

• Оповещения и сбои в работе служб

• Информация о маршруте и расписании

• Информация о доступности

• Помощь в планировании поездки

• Поиск станции на основе местоположения

Related MCP server: marta-mcp

Установка

Докер

docker pull ghcr.io/crdant/mbta-mcp-server:latest
docker run -e MBTA_API_KEY="your-api-key" ghcr.io/crdant/mbta-mcp-server:latest

Перейти к установке

go install github.com/username/mbta-mcp-server@latest

Конфигурация

Установите свой ключ API MBTA в среде:

export MBTA_API_KEY="your-api-key"

Использование

Сервер реализует протокол MCP stdio для локального использования с помощниками на основе искусственного интеллекта.

Более подробную информацию смотрите в спецификации .

Безопасность цепочки поставок

Подписание образа контейнера

Все образы контейнеров подписаны с помощью Sigstore's Cosign с бесключевой подписью. Это позволяет пользователям проверить, что образ контейнера был создан нашим конвейером GitHub Actions CI/CD.

Практика безопасности подписания

Мы следуем лучшим практикам подписания образов контейнеров:

Мы подписываем только дайджест изображения (хэш контента) - это наиболее безопасный подход, поскольку дайджест является уникальным, неизменяемым идентификатором для определенного контента. Подписывая только дайджест, мы избегаем любых потенциальных проблем безопасности, которые могут возникнуть из-за изменяемых тегов, таких как latest .

Проверка изображений контейнеров

Для проверки наших образов контейнеров всегда проверяйте по дайджесту:

# Get the digest first (using any tag to lookup the image)
DIGEST=$(crane digest ghcr.io/crdant/mbta-mcp-server:1.2.3)

# Verify the image by digest
cosign verify \
  --certificate-identity "https://github.com/crdant/mbta-mcp-server/.github/workflows/build.yml@refs/heads/main" \
  --certificate-oidc-issuer "https://token.actions.githubusercontent.com" \
  ghcr.io/crdant/mbta-mcp-server@$DIGEST

Спецификация программного обеспечения (SBOM)

Каждая сборка генерирует комплексный Software Bill of Materials (SBOM), в котором перечислены все компоненты, включенные в образ контейнера. SBOM — это:

1. Создается в процессе сборки

2. Подписано сертификатом, выпущенным GitHub, с помощью инструмента actions/attest-sbom

3. Доступно как артефакт GitHub Actions с каждой сборкой

4. Прикреплено к изображению контейнера в качестве подтверждения дайджестом

Для проверки аттестации SBOM:

# Get the digest first (most reliable approach)
DIGEST=$(crane digest ghcr.io/crdant/mbta-mcp-server:1.2.3)

# Verify the SBOM attestation by digest
cosign verify-attestation \
  --certificate-identity "https://github.com/crdant/mbta-mcp-server/.github/workflows/build.yml@refs/heads/main" \
  --certificate-oidc-issuer "https://token.actions.githubusercontent.com" \
  --type spdx \
  ghcr.io/crdant/mbta-mcp-server@$DIGEST

Сканирование уязвимостей

Мы используем Trivy для сканирования образов контейнеров на наличие уязвимостей:

1. Образы контейнеров автоматически сканируются после их создания.

2. Результаты загружаются в GitHub Security в формате SARIF.

3. Сообщается о критических и высокосерьёзных уязвимостях

4. Сканирование сосредоточено на уязвимостях с доступными исправлениями

Эти меры безопасности помогают гарантировать безопасность и прозрачность нашей цепочки поставок программного обеспечения — от исходного кода до развертывания контейнера.

Лицензия

Лицензия Массачусетского технологического института