mcp-devtools

KI-native Entwicklertools über das Model Context Protocol. Ein produktionsreifer MCP-Server, der KI-Agenten (Claude, Cursor, Copilot, Continue, ...) sicheren, begrenzten Zugriff auf Ihre lokale Entwicklungsumgebung gewährt.

Warum

Das MCP-Ökosystem ist voll von zweckgebundenen Tutorials und anbietergebundenen Adaptern. Es gibt kein gut gewartetes, Multi-Tool-fähiges, framework-unabhängiges und produktionsreifes MCP-Paket für die tägliche Entwicklerarbeit.

mcp-devtools schließt diese Lücke mit 14 Tools, 3 MCP-Ressourcen, 4 MCP-Prompts, einer Plugin-API, zwei Transportmodi (stdio + HTTP mit Authentifizierung) und einem Audit-Log — basierend auf Mustern, die bei DailyBot in der Produktion verfeinert wurden.

Related MCP server: GPT Commander

Schnelleinstieg

stdio (Standard)

npx @oscarmarin/mcp-devtools

Fügen Sie es zu Claude Desktop hinzu (~/Library/Application Support/Claude/claude_desktop_config.json):

{
  "mcpServers": {
    "devtools": {
      "command": "npx",
      "args": ["-y", "@oscarmarin/mcp-devtools"]
    }
  }
}

Oder Cursor (~/.cursor/mcp.json): gleicher Block.

HTTP-Transport

Erstellen Sie eine mcp-devtools.json in Ihrem Projektstammverzeichnis:

{
  "transport": "http",
  "port": 3333,
  "auth": {
    "token": "env:MCP_AUTH_TOKEN"
  }
}

Starten Sie dann den Server:

npx @oscarmarin/mcp-devtools

Der MCP-Endpunkt ist unter http://localhost:3333 verfügbar.

Tools

Referenz pro Tool: docs/tools/.

MCP-Ressourcen

Der Server stellt schreibgeschützte Daten über MCP-Ressourcen bereit:

MCP-Prompts

Kuratierte Prompt-Vorlagen für gängige Entwicklungs-Workflows:

Plugin-API

Erweitern Sie mcp-devtools mit benutzerdefinierten Tools — kein Fork erforderlich.

Konfigurationsbasiert (beim Start laden):

{
  "plugins": ["./my-tools.js", "@scope/mcp-plugin-foo"]
}

Jedes Plugin-Modul exportiert standardmäßig ein Array von Tool-Definitionen:

import { defineTool } from "@oscarmarin/mcp-devtools";
import { z } from "zod";

export default [
  defineTool({
    name: "my_tool",
    description: "Does something useful",
    inputSchema: z.object({ input: z.string() }),
    handler: async (args, config) => ({
      ok: true,
      data: { result: args.input.toUpperCase() },
    }),
  }),
];

Konfiguration

Die Konfiguration wird durch cosmiconfig aus mcp-devtools.json, .mcp-devtoolsrc oder dem mcpDevtools-Schlüssel in package.json geladen. Siehe mcp-devtools.example.json und docs/configuration.md für das vollständige Schema.

Zero-Config wird unterstützt: Die Ausführung von npx @oscarmarin/mcp-devtools ohne Konfiguration verwendet die Schema-Standardwerte (RNF-05).

Sicherheit

Vier nicht umgehbare Kontrollen:

1. Dateisystem-Bereichsbegrenzung. Jeder Pfad wird in einen absoluten Pfad aufgelöst und mit config.scope verglichen. Symlinks, die den Bereich verlassen, lösen SCOPE_VIOLATION aus.

2. Befehls-Allowlist. run_command führt nur Binärdateien aus, deren Basisname in allowedCommands enthalten ist. Der Aufruf verwendet spawn(file, args) (keine Shell), sodass Shell-Injection über das Befehlsargument strukturell unmöglich ist.

3. Datenbank-Schreibschutzmodus. Wenn readOnly: true gesetzt ist, wird jedes SQL geparst und INSERT/UPDATE/DELETE/DROP/CREATE/GRANT werden abgelehnt. Abfragen laufen unter BEGIN READ ONLY ... ROLLBACK auf PostgreSQL.

4. HTTP Bearer-Authentifizierung. Wenn auth.token konfiguriert ist, muss jede HTTP-Anfrage Authorization: Bearer <token> enthalten. Der Vergleich verwendet crypto.timingSafeEqual, um Timing-Angriffe zu verhindern.

Zusätzliche Sicherheitsmaßnahmen:

• Audit-Log. Optionales NDJSON-Log jedes Tool-Aufrufs mit Zeitmessung, bereinigten Eingaben und Ergebnisstatus.

• Maskierung von Geheimnissen. get_env maskiert automatisch Werte, die gängigen Geheimnismustern entsprechen (SECRET, TOKEN, PASSWORD, KEY usw.).

• OpenAPI-Host-Beschränkung. call_api sendet Anfragen nur an Hosts, die im servers-Array der Spezifikation aufgeführt sind.

• Ausgabebegrenzung. Alle Tools begrenzen ihre Ausgabe, um eine Überflutung des Kontexts zu verhindern (100 KB für Befehle, 1 MB für Dateien, 200 Zeilen für Abfragen).

Mitwirken

git clone https://github.com/marin1321/mcp-devtools.git
cd mcp-devtools
npm install
npm run dev       # tsup --watch
npm run test      # vitest
npm run typecheck # tsc --noEmit
npm run lint      # eslint .

Siehe CONTRIBUTING.md für den vollständigen Workflow und CODE_OF_CONDUCT.md für Community-Richtlinien.

Lizenz

MIT © Oscar Humberto Marin Molina — oscarmarindev.com