sitepilot-mcp

sitepilot-mcp 是运行 SitePilot MCP 插件的 WordPress 站点的本地传输与凭据适配器。WordPress 仍然是策略执行点：此包转发站点实时的 tools/list 和 tools/call 能力面，不注册独立的工具或安全策略。

快速开始

需要 Node.js 22 或更高版本，以及运行 SitePilot MCP 0.4.6 或更高版本的 HTTPS WordPress 站点。

npx sitepilot-mcp login --url https://wordpress.example --scopes site:read
npx sitepilot-mcp init --client cursor --profile wordpress-example

init 之后重新启动客户端。默认使用应用程序密码登录；添加 --oauth 可改用带 PKCE 的 OAuth 2.1。已保存的凭据存放在 ~/.config/sitepilot/profiles.json，在操作系统支持的情况下以 0600 权限写入，生成的客户端配置会引用（而非复制）这些凭据。

不保存配置文件即可直接运行：

npx sitepilot-mcp --url https://wordpress.example --user alice --app-pass xxxx-xxxx-xxxx-xxxx
npx sitepilot-mcp --url https://wordpress.example --token opaque-token
npx sitepilot-mcp --profile wordpress-example --transport http --port 8770

HTTP 传输层绑定于 loopback 回环地址并提供 /mcp。支持远程 MCP 和 OAuth 发现的客户端也可以不借助此包，直接连接到 https://wordpress.example/wp-json/sitepilot-mcp/v2/mcp。

Related MCP server: WordPress MCP Proxy

命令

sitepilot-mcp login --url <url> [--oauth] [--scopes a,b] [--label text]
sitepilot-mcp logout --profile <name>
sitepilot-mcp init --client cursor|claude-desktop|claude-code|windsurf|all --profile <name>
sitepilot-mcp doctor --url <url>
sitepilot-mcp tools --url <url> [--json]
sitepilot-mcp call <tool> --input @plan.json [--dry-run]

常用标志：--profile、--api-version v1|v2、--timeout、--read-only、--allow-tier 0|1|2|3 和 --version。

--read-only 和 --allow-tier 只是避免不必要操作的本地便捷特性，它们不属于安全边界。插件中，WordPress 权限、受限凭据范围、风险分类、审批、乐观并发、审计和回滚仍具有权威性。

在转发 execute-change 或 rollback-change 之前，客户端会额外执行一次 get-change-status 调用，以便强制本地的 --allow-tier 偏好。被请求的变更及其参数将原样转发；WordPress 仍然拥有最终权威性。

运行 sitepilot-mcp doctor 即可区分以下情况：不安全的 HTTP、无法访问的 REST、插件缺失或未激活、授权头被剥除、凭据无效或已撤销，以及权限范围不足。

许可证

Apache-2.0。WordPress 插件另外按 AGPL-3.0-or-later 许可证独立授权。