@retensy/mcp 0.42.0 → 0.44.0

package/README.md

@@ -449,7 +449,9 @@ RETENSY_MCP_TOKEN=zmcp_... node src/index.mjs   # стартует stdio MCP-с
 подтверждение проверяет сервер. Новые действия появляются **без релиза npm**: каталог обновляется раз в
 10 минут, клиент получает `notifications/tools/list_changed`. Каталог кэшируется в
 `~/.retensy-bot-graph/catalog-*.json`. Действия с подтверждением (удаление, рассылка всем, публикация)
-выполняются только с `confirm:true` после явного согласия пользователя. Выключить: `RETENSY_MCP_CATALOG=off`.
+повторяются с `confirmToken` из ответа сервера (привязан к аргументам, живёт 5 минут) только после явного согласия пользователя. Каталог только добавляет новые имена и не перекрывает встроенные инструменты; для не-localhost `RETENSY_BASE_URL` нужен https. Выключить: `RETENSY_MCP_CATALOG=off`.
+
+Настоящее согласие человека для деструктивных инструментов - это подтверждение вызова в самом MCP-клиенте (такие инструменты помечены `destructiveHint`): не включайте для них автоодобрение.
 
 ## Отчёты о неудачах (телеметрия)
 

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "@retensy/mcp",
-  "version": "0.42.0",
+  "version": "0.44.0",
   "description": "MCP server to build and publish Telegram and MAX bot funnels/automations, broadcasts, service integrations, block-based websites (incl. free-layout Zero blocks, designs, templates, custom domains, form leads) and Markdown blog articles in the Retensy Bots service. Zero dependencies.",
   "type": "module",
   "bin": {

package/src/catalog.mjs

@@ -1,7 +1,8 @@
 // Единый каталог действий сервиса (GET /api/agent-tools/catalog) — тот же список, что у «Чата с ИИ» в кабинете.
 // Инструменты каталога регистрируются динамически и вызываются через POST /api/agent-tools/invoke: новые действия
 // появляются в MCP без релиза npm. Захардкоженные инструменты остаются для обратной совместимости; при совпадении
-// имени берётся версия из каталога (сервер гарантирует тот же смысл — контракт-тест реестра на бэкенде).
+// имени остаётся локальная версия: каталог только ДОБАВЛЯЕТ новые имена (SEC-24), вызовы локальных
+// инструментов идут через локальный handleCall.
 //
 // Кэш: в памяти + файл ~/.retensy-bot-graph/catalog-<хэш базы>.json (чтобы tools/list сразу после старта уже
 // знал каталог), обновление по TTL. Изменился набор — сервер шлёт notifications/tools/list_changed.
@@ -9,18 +10,38 @@
 
 import fs from "node:fs";
 import path from "node:path";
+import crypto from "node:crypto";
 
 export const CATALOG_TTL_MS = 10 * 60 * 1000;
 const FETCH_TIMEOUT_MS = 6000;
 /** Служебные инструменты MCP: каталог их никогда не перекрывает. */
 const RESERVED = new Set(["setup", "set_token"]);
+export const MAX_DESCRIPTION_BYTES = 2 * 1024;
+export const MAX_SCHEMA_BYTES = 8 * 1024;
+export const MAX_CATALOG_TOOLS = 300;
 const NAME_RX = /^[a-z][a-z0-9_]{2,63}$/;
 
 /** Валидная запись каталога: имя, описание, схема-объект. Остальное отбрасывается, а не ломает tools/list. */
 export function validCatalogTool(t) {
   return !!t && typeof t === "object" && typeof t.name === "string" && NAME_RX.test(t.name) && !RESERVED.has(t.name)
     && typeof t.description === "string" && t.description.trim().length > 0
-    && t.inputSchema && typeof t.inputSchema === "object" && t.inputSchema.type === "object";
+    && Buffer.byteLength(t.description, "utf8") <= MAX_DESCRIPTION_BYTES
+    && t.inputSchema && typeof t.inputSchema === "object" && t.inputSchema.type === "object"
+    && Buffer.byteLength(JSON.stringify(t.inputSchema), "utf8") <= MAX_SCHEMA_BYTES;
+}
+
+const warned = new Set();
+function warnOnce(key, msg) {
+  if (warned.has(key)) return;
+  warned.add(key);
+  console.error(`[retensy-mcp] ${msg}`);
+}
+
+/** Валидные записи каталога, не больше MAX_CATALOG_TOOLS. */
+function sanitize(list) {
+  const valid = (Array.isArray(list) ? list : []).filter(validCatalogTool);
+  if (valid.length > MAX_CATALOG_TOOLS) warnOnce("max-tools", `каталог: ${valid.length} инструментов, берутся первые ${MAX_CATALOG_TOOLS}`);
+  return valid.slice(0, MAX_CATALOG_TOOLS);
 }
 
 /**
@@ -28,21 +49,42 @@ export function validCatalogTool(t) {
  * Порядок стабильный: сначала захардкоженные (как было), затем новые из каталога.
  */
 export function mergeTools(staticTools, catalogTools) {
-  const byName = new Map((catalogTools || []).filter(validCatalogTool).map((t) => [t.name, t]));
-  const out = staticTools.map((t) => {
-    const c = byName.get(t.name);
-    return c ? { name: c.name, description: c.description, inputSchema: c.inputSchema } : t;
-  });
   const known = new Set(staticTools.map((t) => t.name));
-  for (const c of byName.values()) {
-    if (!known.has(c.name)) out.push({ name: c.name, description: c.description, inputSchema: c.inputSchema });
+  const out = [...staticTools];
+  for (const c of sanitize(catalogTools)) {
+    if (known.has(c.name)) {
+      warnOnce(`skip:${c.name}`, `каталог: инструмент ${c.name} уже есть локально, версия сервера пропущена`);
+      continue;
+    }
+    known.add(c.name);
+    const t = { name: c.name, description: c.description, inputSchema: c.inputSchema };
+    if (c.requiresConfirmation === true) t.annotations = { destructiveHint: true };
+    out.push(t);
   }
   return out;
 }
 
+function isSafeBase(base) {
+  try {
+    const u = new URL(base);
+    if (u.protocol === "https:") return true;
+    return u.protocol === "http:" && ["localhost", "127.0.0.1", "[::1]"].includes(u.hostname);
+  } catch { return false; }
+}
+
 export function createCatalog({ base, headers, configDir, enabled = true, now = () => Date.now(), fetchImpl = fetch }) {
-  const file = path.join(configDir, `catalog-${hash(base)}.json`);
-  let tools = readCache(file);
+  if (enabled && !isSafeBase(base)) {
+    warnOnce("insecure-base", "каталог выключен: для не-localhost RETENSY_BASE_URL нужен https");
+    enabled = false;
+  }
+  // Ключ кэша: база + хэш токена/куки, чтобы набор одного токена не виден другому.
+  const fileFor = () => {
+    const h = headers() || {};
+    const secret = `${h.Authorization || h.authorization || ""}|${h.Cookie || h.cookie || ""}`;
+    const tokenHash = crypto.createHash("sha256").update(secret).digest("hex").slice(0, 16);
+    return path.join(configDir, `catalog-${hash(base)}-${tokenHash}.json`);
+  };
+  let tools = enabled ? readCache(fileFor()) : [];
   let fetchedAt = 0;
   let inflight = null;
   let signature = sig(tools);
@@ -57,13 +99,15 @@ export function createCatalog({ base, headers, configDir, enabled = true, now =
         const res = await fetchImpl(`${base}/api/agent-tools/catalog`, { headers: headers(), signal: ctrl.signal });
         if (!res.ok) return false;
         const data = await res.json();
-        const next = Array.isArray(data?.tools) ? data.tools.filter(validCatalogTool) : null;
+        const next = Array.isArray(data?.tools) ? sanitize(data.tools) : null;
         if (!next) return false;
         fetchedAt = now();
         tools = next;
         try {
           fs.mkdirSync(configDir, { recursive: true });
-          fs.writeFileSync(file, JSON.stringify({ fetchedAt, tools }));
+          const file = fileFor();
+          fs.writeFileSync(file, JSON.stringify({ fetchedAt, tools }), { mode: 0o600 });
+          try { fs.chmodSync(file, 0o600); } catch { /* Windows */ }
         } catch { /* кэш на диске — удобство, не обязанность */ }
         const s = sig(tools);
         const changed = s !== signature;
@@ -90,7 +134,7 @@ export function createCatalog({ base, headers, configDir, enabled = true, now =
 function readCache(file) {
   try {
     const data = JSON.parse(fs.readFileSync(file, "utf8"));
-    return Array.isArray(data?.tools) ? data.tools.filter(validCatalogTool) : [];
+    return Array.isArray(data?.tools) ? sanitize(data.tools) : [];
   } catch {
     return [];
   }
@@ -109,7 +153,11 @@ function hash(s) {
 /** Ответ invoke → результат MCP. 409 needsConfirmation — не ошибка сервиса, а просьба спросить человека. */
 export function confirmationText(data) {
   if (data && typeof data === "object" && data.needsConfirmation === true) {
-    return `⚠️ Нужно подтверждение пользователя. ${typeof data.message === "string" ? data.message : ""}`.trim();
+    const msg = typeof data.message === "string" ? data.message : "";
+    if (typeof data.confirmToken === "string" && data.confirmToken) {
+      return `⚠️ Нужно подтверждение пользователя. ${msg} Опиши пользователю, что именно будет сделано, получи его явное согласие и повтори вызов с ТЕМИ ЖЕ аргументами плюс confirmToken: "${data.confirmToken}" (токен привязан к этим аргументам и действует 5 минут).`.trim();
+    }
+    return `⚠️ Нужно подтверждение пользователя. ${msg}`.trim();
   }
   return null;
 }

package/src/index.mjs

@@ -1268,8 +1268,8 @@ const TOOLS = [
   { name: "agent_api_key_list", description: "Список API-ключей агента (GET /api/bots/agents/{agentId}/api-keys): {id, name, keyPrefix, createdAt, lastUsedAt} — без секрета (key:null), секрет виден только один раз при agent_api_key_create. Read-only.", inputSchema: { type: "object", properties: { agentId: { type: "string" } }, required: ["agentId"] } },
   { name: "agent_api_key_revoke", description: "Отозвать API-ключ агента (DELETE /api/bots/agents/{agentId}/api-keys/{keyId}) — публичный чат с этим ключом сразу перестаёт отвечать (401). keyId — из agent_api_key_list. Необратимо: только по явной просьбе пользователя, с confirm:true.", inputSchema: { type: "object", properties: { agentId: { type: "string" }, keyId: { type: "string" }, confirm: { type: "boolean" } }, required: ["agentId", "keyId", "confirm"] } },
   // ---- Пакеты ответов ИИ сверх тарифа (решение владельца 14.10) ----
-  { name: "ai_packs", description: "Пакеты ответов ИИ сверх месячного бюджета тарифа: каталог (GET /api/bots/ai-packs) — [{sku, answers, priceRub, kopecks}] (ai_pack_1000 — 1000 ответов/490₽, ai_pack_5000 — 5000/1990₽, ai_pack_20000 — 20000/6990₽; kopecks — внутренняя единица бюджета, справочно, не присылай её). Плюс баланс — aiPackAnswersLeft/aiPackTokensLeft из GET /api/bots/subscription: пакет не сгорает без активного тарифа, но списывается только при нём, ПОСЛЕ месячного бюджета тарифа, FIFO по старшинству покупки (сначала самый старый). Read-only; купить — ai_pack_purchase.", inputSchema: { type: "object", properties: {} } },
-  { name: "ai_pack_purchase", description: "ЭТО ПЛАТЁЖ, не покупка напрямую. Купить пакет ответов ИИ (POST /api/bots/ai-packs/purchase {sku, method}): тот же конвейер оплаты (ЮKassa/крипта), что у смены тарифа — ответ НЕ списывает деньги сам, а возвращает invoiceUrl, ссылку на оплату; пакет зачислится на баланс только после подтверждения платежа пользователем в браузере. sku — из ai_packs; method — \"card\" (по умолчанию), как у subscribe. Только по явной просьбе пользователя, с confirm:true.", inputSchema: { type: "object", properties: { sku: { type: "string", description: "sku из ai_packs, например ai_pack_5000" }, method: { type: "string", description: "card (по умолчанию) и т.п., как у subscribe" }, confirm: { type: "boolean" } }, required: ["sku", "confirm"] } },
+  { name: "ai_packs", description: "Пакеты ответов ИИ сверх месячного бюджета тарифа: каталог (GET /api/bots/ai-packs): offers — разовые пакеты [{sku, priceRub, tokens, approxAnswers}], periodOffers — те же на 1/3/12 мес. (months, priceRub — итог за период со скидкой, savingsRub — экономия, tokens/approxAnswers — за МЕСЯЦ, начисляются помесячно) (ai_pack_1000 — 1000 ответов/490₽, ai_pack_5000 — 5000/1990₽, ai_pack_20000 — 20000/6990₽; kopecks — внутренняя единица бюджета, справочно, не присылай её). Плюс баланс — aiPackAnswersLeft/aiPackTokensLeft из GET /api/bots/subscription: пакет не сгорает без активного тарифа, но списывается только при нём, ПОСЛЕ месячного бюджета тарифа, FIFO по старшинству покупки (сначала самый старый). Read-only; купить — ai_pack_purchase.", inputSchema: { type: "object", properties: {} } },
+  { name: "ai_pack_purchase", description: "ЭТО ПЛАТЁЖ, не покупка напрямую. Купить пакет ответов ИИ (POST /api/bots/ai-packs/purchase {sku, method}): тот же конвейер оплаты (ЮKassa/крипта), что у смены тарифа — ответ НЕ списывает деньги сам, а возвращает invoiceUrl, ссылку на оплату; пакет зачислится на баланс только после подтверждения платежа пользователем в браузере. sku — из ai_packs; method — \"card\" (по умолчанию), как у subscribe. Только по явной просьбе пользователя, с confirm:true.", inputSchema: { type: "object", properties: { sku: { type: "string", description: "sku из ai_packs, например ai_pack_5000" }, period: { type: "integer", enum: [1, 3, 12], description: "период, мес.: 1 (по умолчанию), 3 (скидка 10%) или 12 (скидка 20%) — токены начисляются каждый месяц, не сразу; можно вместо этого передать sku периода из periodOffers (ai_pack_5000_m3)" }, method: { type: "string", description: "card (по умолчанию) и т.п., как у subscribe" }, confirm: { type: "boolean" } }, required: ["sku", "confirm"] } },
 ];
 
 async function handleCall(params) {
@@ -2701,7 +2701,9 @@ async function handleCall(params) {
       const sku = String(a.sku ?? "").trim();
       if (!sku) throw new Error("Передай sku — из ai_packs.");
       if (a.confirm !== true) throw new Error("Это платёж. Спроси пользователя и повтори с confirm:true.");
-      const r = await api("/api/bots/ai-packs/purchase", { method: "POST", body: { sku, method: a.method || "card" } });
+      const period = a.period === undefined ? undefined : Number(a.period);
+      if (period !== undefined && ![1, 3, 12].includes(period)) throw new Error("period: 1, 3 или 12 месяцев.");
+      const r = await api("/api/bots/ai-packs/purchase", { method: "POST", body: { sku, method: a.method || "card", ...(period ? { period } : {}) } });
       return okResult({ ...r, hint: "Пакет зачислится после подтверждения оплаты по invoiceUrl — ничего не списано автоматически." });
     }
     default:
@@ -2717,6 +2719,8 @@ const catalog = createCatalog({
   enabled: (process.env.RETENSY_MCP_CATALOG || "on").trim().toLowerCase() !== "off",
 });
 
+const LOCAL_TOOL_NAMES = new Set(TOOLS.map((t) => t.name));
+
 /** Инструмент каталога: сервер сам проверит права токена, тариф и подтверждение. */
 async function callCatalog(params) {
   try {
@@ -2755,7 +2759,7 @@ rl.on("line", async (line) => {
     } else if (method === "tools/call") {
       let result;
       try {
-        result = isAuthed() && catalog.has(params?.name) ? await callCatalog(params) : await handleCall(params);
+        result = isAuthed() && catalog.has(params?.name) && !LOCAL_TOOL_NAMES.has(params?.name) ? await callCatalog(params) : await handleCall(params);
         if (params?.name === "set_token") refreshCatalog(); // новый токен — другой набор прав и действий
       } catch (e) {
         result = errResult(e);