能力

原版

本项目

用户上下文

全局单例（并发不安全）

AsyncLocalStorage 请求级（并发安全）

服务器/分组/端点

全局共享

按 owner 隔离，普通用户只能看到自己的

SSE 路由鉴权

信任 URL 参数（无校验）

校验用户真实存在 + 真实 isAdmin

数据过滤

filterData 空实现

按 owner + shared 过滤

权限

说明

默认

canAccessMarket

是否可以访问市场页面

❌ 关闭

canCreateServer

是否可以自行添加服务器

❌ 关闭

isAdmin

管理员（可管理一切）

❌

操作

所有者

管理员

普通用户（共享）

查看列表

✅

✅

✅

启用/禁用

✅

✅

✅

使用工具

✅

✅

✅

查看/修改配置

✅

✅

❌

修改/删除

✅

✅

❌

文件

说明

src/services/userContextService.ts

AsyncLocalStorage 请求级用户上下文

src/services/dataService.ts

按 owner + shared 过滤数据

src/middlewares/auth.ts

JWT 验证 + 权限补充 + requirePermission 中间件

src/middlewares/userContext.ts

控制台 + SSE 用户上下文设置

src/controllers/serverController.ts

服务器归属校验（共享 vs 所有权）

src/controllers/userController.ts

用户 CRUD + 批量操作

src/db/entities/User.ts

用户实体（含追踪 + 权限字段）

方法

路径

说明

POST

/api/users/batch

批量创建用户

PUT

/api/users/batch/permissions

批量设置权限

DELETE

/api/users/batch

批量删除用户

PUT

/api/servers/:name/share

切换服务器共享

PUT

/api/groups/:id/share

切换分组共享

PUT

/api/xiaozhi/endpoints/:id/share

切换端点共享

PUT

/api/users/:username/permissions

设置单个用户权限

变量

默认值

说明

DATABASE_URL

postgres://xiaozhi:...

数据库连接串

JWT_SECRET

自动生成

JWT 签名密钥（生产建议手动设置）

SMART_ROUTING_ENABLED

false

智能路由开关

BASE_PATH

空

二级路径部署（如 /mcphub）

OPENAI_API_KEY

-

智能路由所需