canvas-student-mcp

Сервер MCP для Canvas LMS, который работает, даже если ваша школа отключает создание API-токенов.

Предоставляет Claude (или любому MCP-клиенту) доступ только для чтения к вашему аккаунту Canvas: курсы, учебные программы, задания со статусом сдачи, оценки, объявления, модули, страницы, файлы, обсуждения, тесты, список дел и календарь. Объедините его с коннектором Notion и архивируйте целый курс одной командой.

Зачем ещё один MCP для Canvas?

Уже существует несколько хороших MCP-серверов для Canvas — vishalsachdev/canvas-mcp, DMontgomery40/mcp-canvas-lms, mtgibbs/canvas-lms-mcp и другие. Все они требуют личный API-токен.

Вот в чём проблема: многие университеты отключают возможность самостоятельной генерации токенов для студентов. Откройте Аккаунт → Настройки — и там просто нет кнопки + Новый токен доступа. В таких школах любой сервер на основе токенов — это тупик.

Этот сервер решает проблему с помощью аутентификации через cookie сессии: войдите в Canvas в браузере, скопируйте cookie сессии один раз, и вы подключены. Веб-интерфейс Canvas общается с тем же REST API /api/v1 с помощью этой cookie, поэтому никакая политика администратора не может заблокировать это, не сломав сам Canvas.

Что для этого требуется под капотом (и чего не делают серверы на токенах):

• Удаление XSSI-защиты — ответы Canvas, аутентифицированные через cookie, имеют префикс while(1);, который ломает наивный парсинг JSON

• Обнаружение перенаправления на страницу входа — при истекшей сессии происходит перенаправление на страницу входа вместо возврата 401; сервер перехватывает перенаправления и не-JSON тела и точно сообщает, как обновить данные, вместо загадочной ошибки

• Загрузка файлов с учётом учётных данных — токен-сессии получают параметр verifier=, делающий URL файлов самоаутентифицирующимися; cookie-сессии его не получают, поэтому загрузки должны передавать cookie сессии (иначе Canvas отвечает 500). Перенаправления обрабатываются вручную, чтобы учётные данные никогда не передавались на CDN

• Ошибки с учётом истечения срока — каждый режим ошибки объясняет исправление в самом сообщении об ошибке

Принципы проектирования, которые отличают его помимо аутентификации:

• Только чтение по замыслу. Каждый инструмент — это GET-запрос. Сервер физически не может сдавать задания, публиковать обсуждения или что-либо изменять — его можно безопасно доверить автономному агенту.

• Контекстно-эффективные ответы. Полезные данные API Canvas огромны; каждый инструмент обрезает их до полей, которые действительно нужны LLM, преобразует HTML в чистый текст (сохраняя URL ссылок) и ограничивает пагинацию явными уведомлениями об усечении.

• Небольшой и проверяемый. Строгий TypeScript, три внешних зависимости (MCP SDK, zod и unpdf для текста из PDF). Вы можете прочитать весь код, прежде чем доверить ему данные своей учётной записи в школе.

Аутентификация по токену по-прежнему поддерживается, если ваша школа её разрешает — cookie является запасным вариантом, а не единственным путём.

Related MCP server: canvas-parent-mcp

Инструменты (29)

Три из них стоит выделить.

canvas_read_file превращает учебные материалы в читаемый текст, что позволяет выполнять запросы вроде "опроси меня по слайдам этой недели" или "что написано в политике приёма опоздавших работ". PDF обрабатываются через unpdf; форматы Office обрабатываются внутри репозитория — .docx, .pptx и .xlsx являются ZIP-контейнерами с XML, поэтому небольшой ZIP-ридер на основе встроенного zlib Node.js покрывает все три без дополнительных зависимостей. canvas_read_syllabus расширяет эту возможность: он определяет, когда учебная программа является только ссылкой на файл, и читает вложение вместо этого, что является распространённым случаем (2 из 3 протестированных курсов). canvas_grade_breakdown реализует обе модели оценивания Canvas (взвешенная по группам и по сумме баллов), перепроверяет свои вычисления по оценке, которую сообщает сам Canvas, и сообщает, когда правила исключения или неопубликованные группы заданий делают прогноз ненадёжным — вместо того чтобы молча возвращать уверенное, но неверное число. canvas_get_conversation передаёт auto_mark_as_read=false, поэтому агент, читающий ваши входящие, не помечает сообщения как прочитанные; это поведение проверено на реальной непрочитанной ветке, а не просто предполагается.

См. ROADMAP.md о планах на будущее и о том, почему операции записи намеренно выходят за рамки.

Быстрый старт

Установка не требуется — npx загружает его по запросу:

npx canvas-student-mcp

Или из исходников:

git clone https://github.com/xmike04/canvas-student-mcp.git
cd canvas-student-mcp
npm install && npm run build

Получить учётные данные

Вариант A — API-токен (если ваша школа это разрешает): Canvas → Аккаунт → Настройки → Утверждённые интеграции → + Новый токен доступа.

Вариант B — cookie сессии (для школ с ограничениями):

1. Войдите в Canvas вашей школы в любом браузере

2. Инструменты разработчика (Cmd/Ctrl+Shift+I) → вкладка Сеть → обновите страницу

3. Нажмите на любой запрос к вашему домену Canvas → Заголовки запроса → скопируйте полное значение cookie: (или только пару canvas_session=... — этой одной cookie достаточно)

Любые учётные данные предоставляют доступ на чтение к вашему аккаунту Canvas. Относитесь к ним как к паролю.

Сохранить учётные данные (macOS: используйте Связку ключей)

Конфиги MCP-клиентов — это обычный JSON. На macOS вы можете полностью исключить из них учётные данные:

security add-generic-password -s canvas-student-mcp -a cookie -w 'canvas_session=PASTE_VALUE_HERE' -U

Используйте -a token вместо -a cookie для API-токена. Сервер сначала проверяет переменные окружения, затем Связку ключей, так что это опционально, и ничего не сломается, если вы пропустите этот шаг. CANVAS_NO_KEYCHAIN=1 отключает поиск.

Зарегистрировать в Claude

Claude Code — с учётными данными в Связке ключей конфиг не содержит никаких секретов:

claude mcp add canvas --scope user \
  --env CANVAS_BASE_URL=https://yourschool.instructure.com \
  -- npx -y canvas-student-mcp

Передача учётных данных напрямую вместо использования Связки ключей:

claude mcp add canvas --scope user \
  --env 'CANVAS_COOKIE=canvas_session=PASTE_VALUE_HERE' \
  --env CANVAS_BASE_URL=https://yourschool.instructure.com \
  -- npx -y canvas-student-mcp

Claude Desktop (claude_desktop_config.json):

{
  "mcpServers": {
    "canvas": {
      "command": "node",
      "args": ["/absolute/path/to/canvas-student-mcp/dist/index.js"],
      "env": {
        "CANVAS_COOKIE": "canvas_session=PASTE_VALUE_HERE",
        "CANVAS_BASE_URL": "https://yourschool.instructure.com"
      }
    }
  }
}

Используйте CANVAS_API_TOKEN вместо CANVAS_COOKIE для аутентификации по токену (токен имеет приоритет, если заданы оба). Проверьте с помощью: "проверь мой профиль Canvas."

Когда cookie истекает (ваша сессия в браузере завершается), каждый инструмент сообщит вам об этом — скопируйте новую и обновите конфиг. Если установлена галочка "оставаться в системе", сессии обычно живут неделями.

Навыки агента

Три готовых рабочих процесса поставляются в папке skills/. Скопируйте любой из них в ~/.claude/skills/ (или в .claude/skills/ вашего проекта), и Claude будет использовать их автоматически, когда запрос подходит:

cp -R skills/canvas-morning-check ~/.claude/skills/

Что можно спросить после подключения

• "Что нужно сдать в ближайшие две недели по всем моим предметам?"

• "Какая у меня текущая оценка по каждому курсу и какие задания я пропустил?"

• "Обобщи объявления этой недели по всем моим курсам."

• "Экспортируй мой курс BIOL 1710 и заархивируй его в мою папку Notion 'Школа'." (с коннектором Notion)

• "Прочитай страницу 'Неделя 3' в моём курсе истории и опроси меня по ней."

Заметки по архитектуре

• Транспорт stdio, без сохранения состояния — один процесс на сессию клиента, никаких портов, телеметрии или хранилища. Данные идут Canvas → этот процесс → ваш MCP-клиент, и никуда больше.

• Автоматическая пагинация следует заголовкам Link: rel="next" Canvas, ограничена 5 страницами × 100 элементов с явными уведомлениями об усечении, чтобы контекст агента оставался в рамках.

• Преобразование HTML в текст для учебных программ, описаний, объявлений и страниц — структурные теги превращаются в переносы строк/маркеры списков, ссылки становятся текст (url).

• Схемы входных данных Zod для каждого инструмента; аннотации MCP (readOnlyHint) объявлены повсеместно.

Разработка

npm run build   # strict TypeScript compile
npm test        # smoke test: MCP handshake, all 30 tools register, error paths

Дымовой тест выполняется полностью офлайн — CI не требует учетной записи Canvas, и он устанавливает CANVAS_NO_KEYCHAIN=1, чтобы реальные сохраненные учетные данные не могли просочиться в тестовый запуск.

Релиз

Публикация выполняется из CI (.github/workflows/release.yml), поэтому никто не публикует с ноутбука:

npm version minor && git push --follow-tags

Отправка тега запускает сборку, полный набор тестов, проверку содержимого пакета и защиту, что тег соответствует package.json — затем публикует с provenance, что криптографически связывает опубликованный архив с коммитом и workflow, который его собрал. Ручной запуск workflow из вкладки Actions делает всё, кроме публикации, в качестве пробного запуска.

Модель безопасности

• Только чтение: каждый вызов Canvas — это GET; ни один инструмент не может писать в Canvas. Даже чтение вашего почтового ящика оставляет сообщения непрочитанными.

• Учетные данные хранятся в конфигурации окружения вашего MCP-клиента или в связке ключей macOS — никогда на диске в этом репозитории, никогда не передаются куда-либо, кроме домена Canvas вашего учебного заведения. Загрузка файлов следует за перенаправлениями вручную, чтобы учетные данные никогда не передавались в CDN.

• Ротируйте по желанию: выйдите из Canvas (или отзовите токен), и учетные данные станут недействительными везде.

• canvas_auth_status сообщает, какие учетные данные используются, где они хранятся и работают ли они до сих пор.

Лицензия

MIT