cursor-relay-mcp

Ein lokaler MCP-Server, der auf dem offiziellen @cursor/sdk basiert. Er ermöglicht es MCP-Clients, eine begrenzte Aufgabe an ein explizit ausgewähltes Cursor-Modell zu delegieren, während ein dauerhafter, neustartsicherer Ausführungszustand erhalten bleibt.

@cursor/sdk ist in der öffentlichen Beta. Dieses Paket pinnt exakt 1.0.28 und enthält einen SDK-Export-Vertragstest. Siehe README.zh-CN.md für die vollständige Anleitung.

Für einen getesteten Codex-Desktop-Installationsworkflow unter Windows, einschließlich persönlichem Marketplace-Layout, CLI-Fallback, Sandbox-Kompatibilität, Cache-Aktualisierung und einem Grok-4.6-Smoke-Test, siehe CODEX_INSTALL.zh-CN.md.

Schnellstart

Anforderungen: Git, Node.js >=22.13 und ein Cursor-Konto. Die empfohlene Authentifizierungsmethode ist der offizielle Cursor.auth.login()-gespeicherte Login.

git clone https://github.com/tonytanglab/cursor-relay-mcp.git
cd cursor-relay-mcp
npm install

# Opens the system default browser and stores an official SDK login for this OS user.
node --input-type=module --eval 'import { Cursor } from "@cursor/sdk"; await Cursor.auth.login({ apiKeyName: "cursor-relay-mcp" })'

npm run build
$env:CURSOR_RELAY_WORKSPACE_ROOTS = "D:\app\git"
node .\dist\index.js

Führen Sie den Login einmal auf jedem Computer und jedem Betriebssystem-Benutzerkonto aus, das den MCP-Server startet. Das offizielle SDK öffnet den Standardbrowser des Systems, erstellt einen benannten, ablaufenden und widerrufbaren API-Schlüssel und speichert ihn im offiziellen Anmeldeinformationsspeicher; der Relay liest oder gibt den Schlüsselwert nie zurück. Überprüfen Sie den Login, ohne Anmeldeinformationen preiszugeben:

node --input-type=module --eval 'import { Cursor } from "@cursor/sdk"; console.log((await Cursor.auth.status()).status)'

logged-in bedeutet, dass der MCP-Prozess den gespeicherten Login verwenden kann. CURSOR_API_KEY bleibt eine optionale Alternative für die Automatisierung, aber setzen Sie ihn nicht in .mcp.json, Shell-Verlauf, Protokolle oder das Repository. Wenn Sie den gespeicherten Login verwenden, lassen Sie CURSOR_API_KEY vollständig weg, anstatt ihn auf eine leere Zeichenfolge zu setzen.

Der normale Tool-Ablauf ist doctor → list_models → start_run → wiederholte wait_run-Aufrufe, bis terminal=true. Ausführungen sind idempotent, persistent, durch ein Gesamtzeitlimit begrenzt und nach einem Prozessneustart wiederherstellbar.

Die Sicherheitsstandards sind fail-closed: Unbeaufsichtigte Ausführungen erfordern die statische Workspace-Allowlist. Wenn ein Benutzer Cursor Relay für einen Workspace in der aktuellen Konversation explizit autorisiert, kann authorize_workspace eine fünfminütige, einmalige, exakte Aufgabenberechtigung nur für read-only ausstellen. Das Token wird nie gespeichert und ist an den echten Pfad, die Aufgabe, den Idempotenzschlüssel und die MCP-Aufgabe/Sitzung gebunden, sofern verfügbar. Berechtigungen sind standardmäßig auf schreibgeschützt beschränkt, die Cursor-Sandbox ist auf unterstützten Nicht-Windows-Hosts standardmäßig aktiviert, und es werden nur Projekteinstellungen geladen. Windows setzt die SDK-Sandbox standardmäßig auf aus, da die aktuelle lokale Laufzeit sie als nicht unterstützt meldet; die schreibgeschützte Tool-Allowlist bleibt durchgesetzt. workspace-write erfordert weiterhin die statische Allowlist. danger-full-access erfordert sowohl CURSOR_RELAY_ENABLE_DANGER_FULL_ACCESS=true beim Serverstart als auch confirmedDangerousPermission=true in der Anfrage. Lassen Sie den Server-Schalter für den normalen Gebrauch aus.

CURSOR_RELAY_READ_ONLY_SANDBOX_ENABLED kann die Sandbox auf unterstützten Nicht-Windows-Hosts explizit deaktivieren. Windows setzt diese Einstellung immer auf aus, da die aktuelle Cursor-SDK-Lokallaufzeit diesen Sandbox-Pfad nicht unterstützt. Dieser Schalter gilt nur für das read-only-Preset; seine öffentliche Tool-Allowlist bleibt auf read, grep, glob und ls beschränkt. workspace-write erfordert weiterhin SDK-Sandbox-Unterstützung.

CURSOR_RELAY_SETTING_SOURCES ist eine optionale, durch Kommas getrennte Liste, die auf die öffentlichen Einstellungsebenen project, team und mdm beschränkt ist. Standardmäßig ist project; user, plugins und all werden bewusst abgelehnt, um umgebungsbedingtes oder rekursives MCP-Verhalten zu vermeiden.

Ausführungszusammenfassungen lassen gestreamte Ereignisse aus und melden eventCount; verwenden Sie read_events für Ereignisseiten. Ereignisdaten, die größer als 8 KiB sind, werden durch explizite Kürzungsmetadaten ersetzt. Die Schwärzung basiert auf sensiblen Feldnamen und ist kein allgemeiner Geheimnisscanner. Verwenden Sie daher ein privates Zustandsverzeichnis und vermeiden Sie Geheimnisse in Prompts.

Der Relay verwendet nur öffentliche Exporte aus dem gepinnten SDK: Modellerkennung, Agent.create/resume/listRuns/getRun, Run.stream/wait/cancel und offiziellen Authentifizierungsstatus. Er inspiziert weder den Cursor-IDE-Zustand noch private Endpunkte. Ein Neustart der Cursor-IDE ist für lokale SDK-Ausführungen nicht erforderlich.

Related MCP server: mcp-job-queue

Verifizierung

npm run format:check
npm run lint
npm run typecheck
npm test
npm run build
npm run test:mcp
npm run check:package
npm run test:sdk-contract

Die Standardtests rufen weder die echte Cursor-API auf noch ändern sie einen echten Workspace.