mcp-devtools

Herramientas de desarrollo nativas para IA a través del Model Context Protocol. Un servidor MCP de nivel de producción que brinda a los agentes de IA (Claude, Cursor, Copilot, Continue, ...) acceso seguro y delimitado a su entorno de desarrollo local.

Por qué

El ecosistema MCP está lleno de tutoriales de un solo propósito y adaptadores vinculados a proveedores. No existe un paquete MCP bien mantenido, multiherramienta, agnóstico al framework y de calidad de producción para las herramientas de desarrollo cotidianas.

mcp-devtools llena ese vacío con 14 herramientas, 3 recursos MCP, 4 prompts MCP, una API de plugins, dos modos de transporte (stdio + HTTP con autenticación) y un registro de auditoría, construidos sobre patrones perfeccionados en producción en DailyBot.

Related MCP server: GPT Commander

Inicio rápido

stdio (predeterminado)

npx @oscarmarin/mcp-devtools

Añádalo a Claude Desktop (~/Library/Application Support/Claude/claude_desktop_config.json):

{
  "mcpServers": {
    "devtools": {
      "command": "npx",
      "args": ["-y", "@oscarmarin/mcp-devtools"]
    }
  }
}

O a Cursor (~/.cursor/mcp.json): mismo bloque.

Transporte HTTP

Cree un archivo mcp-devtools.json en la raíz de su proyecto:

{
  "transport": "http",
  "port": 3333,
  "auth": {
    "token": "env:MCP_AUTH_TOKEN"
  }
}

Luego inicie el servidor:

npx @oscarmarin/mcp-devtools

El endpoint MCP estará disponible en http://localhost:3333.

Herramientas

Referencia por herramienta: docs/tools/.

Recursos MCP

El servidor expone datos de solo lectura a través de recursos MCP:

Prompts MCP

Plantillas de prompts seleccionadas para flujos de trabajo de desarrollo comunes:

API de plugins

Extienda mcp-devtools con herramientas personalizadas, sin necesidad de hacer un fork.

Basado en configuración (cargar al inicio):

{
  "plugins": ["./my-tools.js", "@scope/mcp-plugin-foo"]
}

Cada módulo de plugin exporta por defecto una matriz de definiciones de herramientas:

import { defineTool } from "@oscarmarin/mcp-devtools";
import { z } from "zod";

export default [
  defineTool({
    name: "my_tool",
    description: "Does something useful",
    inputSchema: z.object({ input: z.string() }),
    handler: async (args, config) => ({
      ok: true,
      data: { result: args.input.toUpperCase() },
    }),
  }),
];

Configuración

La configuración es cargada por cosmiconfig desde mcp-devtools.json, .mcp-devtoolsrc o la clave mcpDevtools en package.json. Consulte mcp-devtools.example.json y docs/configuration.md para ver el esquema completo.

Se admite la configuración cero: ejecutar npx @oscarmarin/mcp-devtools sin configuración utiliza los valores predeterminados del esquema (RNF-05).

Seguridad

Cuatro controles no eludibles:

1. Límite de alcance del sistema de archivos. Cada ruta se resuelve a una absoluta y se compara con config.scope. Los enlaces simbólicos que escapan del alcance lanzan SCOPE_VIOLATION.

2. Lista de permitidos de comandos. run_command solo ejecuta binarios cuyo nombre base esté en allowedCommands. La invocación utiliza spawn(file, args) (sin shell), por lo que la inyección de shell a través del argumento de comando es estructuralmente imposible.

3. Modo de solo lectura de base de datos. Cuando readOnly: true, todo SQL se analiza y se rechazan INSERT/UPDATE/DELETE/DROP/CREATE/GRANT. Las consultas se ejecutan en BEGIN READ ONLY ... ROLLBACK en PostgreSQL.

4. Autenticación HTTP Bearer. Cuando auth.token está configurado, cada solicitud HTTP debe incluir Authorization: Bearer <token>. La comparación utiliza crypto.timingSafeEqual para evitar ataques de temporización.

Medidas de seguridad adicionales:

• Registro de auditoría. Registro NDJSON opcional de cada invocación de herramienta con tiempos, entradas saneadas y estado del resultado.

• Enmascaramiento de secretos. get_env enmascara automáticamente los valores que coinciden con patrones de secretos comunes (SECRET, TOKEN, PASSWORD, KEY, etc.).

• Restricción de host OpenAPI. call_api solo envía solicitudes a los hosts enumerados en la matriz servers de la especificación.

• Limitación de salida. Todas las herramientas limitan su salida para evitar inundar el contexto (100 KB para comandos, 1 MB para archivos, 200 filas para consultas).

Contribución

git clone https://github.com/marin1321/mcp-devtools.git
cd mcp-devtools
npm install
npm run dev       # tsup --watch
npm run test      # vitest
npm run typecheck # tsc --noEmit
npm run lint      # eslint .

Consulte CONTRIBUTING.md para conocer el flujo de trabajo completo y CODE_OF_CONDUCT.md para las pautas de la comunidad.

Licencia

MIT © Oscar Humberto Marin Molina — oscarmarindev.com