hydris-mcp-integration

Hydris Pulse Bridge 跟踪，工作项 1：诊断 MCP 服务器骨架 将位于 Lite 单体仓库内的 lite/diagnostic_mcp/ 目录下。它 实现了 BRIDGE-2（每次调用的工厂授权）、BRIDGE-5 （每次调用的审计日志记录）和 NFR-4（安全性），并在结构上 强制实施 BRIDGE-1（只读工具集）。

参见 docs/scope.md 了解此处构建和未构建的内容， 以及 docs/decisions.md 了解此骨架所采取的 开放项决策（撤销延迟、审计接收器故障行为、非泄露错误形状、 工具集版本方案），等待 Nematullah 的批准。

架构

• 两个身份，保持分离（diagnostic_mcp/auth/）： 一个服务主体 JWT（只读作用域，独立验证）和一个 每次调用的用户上下文 JWT。服务令牌永远不会扩大访问权限。

• 每次调用一个管道（diagnostic_mcp/registry/pipeline.py）： 验证两个身份，校验参数，检查用户的实时 工厂授权（无缓存），分发，审计日志记录结果 - 成功、 拒绝或错误 - 每次都是。

• 注册时只读门控（diagnostic_mcp/registry/tool_registry.py）： 一个没有 classification="read_only" 或没有必需 factory_id 参数的工具在注册时被拒绝，而不是在调用时。

• FastMCP 用于模式通告，一个覆盖用于分发 （diagnostic_mcp/server.py）：tools/list 像往常一样来自 FastMCP； tools/call 在底层服务器被拦截一次，因此每个工具

  • 现在或将来 - 都通过同一个管道，无需每个工具的样板代码。

• 一个演示工具，get_plant_overview （diagnostic_mcp/tools/plant_overview.py），由 Lite 的只读服务层的 内存存根支持，使用源文档中命名的确切固定数据（u-ops-alpha 被授予 fx-mbr-01；u-ops-beta 被授予 fx-beta-01）。

Related MCP server: system-monitor

快速开始

python -m venv .venv
.venv/Scripts/pip install -e ".[dev]"      # .venv/bin/pip on macOS/Linux
cp .env.example .env                        # then edit the two secrets

运行服务器：

set -a; source .env; set +a                 # or export the vars another way
python -m diagnostic_mcp.server

默认情况下，它在 streamable-http 上监听 http://127.0.0.1:8765/mcp。

端到端验证

pytest -v            # includes a real streamable-HTTP client/server round trip
ruff check .
mypy diagnostic_mcp tests
python scripts/check_no_write_imports.py

要使用官方 MCP 客户端手动调用正在运行的服务器，请根据服务器运行的相同密钥生成一个 服务令牌和一个用户上下文令牌：

from diagnostic_mcp.auth.service_principal import issue_service_token
from diagnostic_mcp.auth.user_context import issue_user_context_token

service_token = issue_service_token("<LITE_MCP_SERVICE_TOKEN_SECRET>")
user_token = issue_user_context_token("<LITE_MCP_USER_CONTEXT_SECRET>", "u-ops-alpha", "org-alpha")
print(f"Authorization: Bearer {service_token}")
print(f"X-Pulse-User-Context: {user_token}")

然后使用 factory_id=fx-mbr-01（已授权 - 成功）或 factory_id=fx-beta-01（未授权 - 拒绝，并且两次尝试都会记录到 audit.jsonl）调用 get_plant_overview。

工作项 1 完成定义