mcp-content-ops

MCP-сервер, который позволяет агенту работать с контентом CMS. Инструменты — самая скучная часть: поиск, чтение, создание черновика, установка поля, публикация. Основная сложность — в том, что происходит до их запуска.

Большинство MCP-серверов для контента, которые мы видели, передают модели API-клиент и учётные данные с теми правами, которые есть у интеграционного аккаунта, а в CMS это обычно все права. Демо работает. Затем кто-то просит агента «привести в порядок страницы товаров», и он публикует сорок черновиков, потому что нигде в системе не сказано, что нельзя.

Ограничение доступа

Четыре барьера, по порядку, и ни один из них не живёт в схеме инструмента:

1. Проверка аргументов по опубликованной схеме. Неизвестные свойства отклоняются, а не отбрасываются — модель, которая выдумала аргумент, неправильно поняла инструмент, и тихое отбрасывание это скрывает.

2. Запрет по умолчанию. Запись отключена, пока конфигурация её не включит. Нигде в Policy нет разрешающего значения по умолчанию.

3. Белые списки типов и полей. То, что тип доступен для чтения, не делает его доступным для записи, а доступный для записи тип не делает каждое его поле доступным для записи.

4. Структурированный аудит каждого вызова — разрешённого или отклонённого — с указанием причины.

Тип, по которому оценивается вызов, берётся из сохранённого элемента, а не из аргументов. Позволить вызывающей стороне утверждать, с чем она работает, — значит позволить ей выбирать, какая политика применяется.

Отклонённый вызов возвращается как обычный результат инструмента с установленным isError, а не как ошибка JSON-RPC. Модель должна видеть причину отказа и адаптироваться; ошибка протокола означает, что клиент сломан, — это другой разговор.

Related MCP server: ToolBridge

Запуск

pip install -e ".[dev]"
python -m content_ops.server policy.example.json
pytest -q

CMS за этим — заглушка в памяти в cms.py — четыре метода, замените её на свой контентный API.

Чего он не делает

Нет инструмента удаления — намеренно. Нет ресурсов и промптов, только инструменты. Нет аутентификации: это stdio-сервер, и граница доверия — процесс, который его запустил. Валидатор схемы покрывает подмножество, которое используют наши собственные схемы инструментов, а не весь JSON Schema.

Почему не SDK

MCP Python SDK — хороший, и для более крупного сервера это правильный выбор. Этот сервер реализует три метода через stdio, а формат проводов достаточно мал, чтобы зависимость, движущаяся с той скоростью, с которой сейчас движутся SDK, была большим риском.