@xurenxiang1219/pingcode-mcp 0.3.1

package/.env.example

@@ -0,0 +1,115 @@
+# 完整設定參考。Docker Compose 本機 User OAuth 請優先複製 .env.compose.local.example，
+# 不需要在此填滿所有選項。
+
+# PingCode API 基礎地址。
+# 公有雲保持預設值；私有部署或企業閘道請改成客戶提供的地址。
+PINGCODE_API_BASE_URL=https://open.pingcode.com
+
+# PingCode OAuth 瀏覽器授權頁根地址，不是 REST API 根地址。
+# 公有雲固定包含 /oauth2；私有部署通常為 https://自訂域名/oauth2。
+PINGCODE_OAUTH_BASE_URL=https://open.pingcode.com/oauth2
+
+# 認證模式：
+# - enterprise：使用企業 Client Credentials，可搭配 stdio 或 HTTP。
+# - user_oauth：每位使用者登入 PingCode，只支援 Streamable HTTP。
+PINGCODE_AUTH_MODE=enterprise
+
+# PingCode 應用的 Client ID；請由 Secret Manager 或本機 .env 提供實際值。
+PINGCODE_CLIENT_ID=replace-with-client-id
+
+# PingCode 應用的 Client Secret；不得提交實際值到 Git。
+PINGCODE_CLIENT_SECRET=replace-with-client-secret
+
+# 單次 PingCode API／OAuth 請求逾時，單位毫秒；允許範圍 1000～120000。
+PINGCODE_REQUEST_TIMEOUT_MS=10000
+
+# 單次 PingCode API 響應大小上限，單位 bytes；預設 1 MiB。
+PINGCODE_MAX_RESPONSE_BYTES=1048576
+
+# 唯讀 API 的最大重試次數；只重試網路錯誤、逾時、429、5xx 及一次 401 Token 刷新。
+PINGCODE_MAX_RETRIES=2
+
+# 指數退避的基礎與最大等待時間，單位毫秒；429 會優先遵守 Retry-After，但仍受最大值限制。
+PINGCODE_RETRY_BASE_DELAY_MS=250
+PINGCODE_RETRY_MAX_DELAY_MS=2000
+
+# MCP HTTP Server 綁定地址。
+# 本機可用 localhost／127.0.0.1；遠端部署通常使用 0.0.0.0。
+MCP_HOST=127.0.0.1
+
+# MCP HTTP Server 監聽埠。
+MCP_PORT=3000
+
+# 是否允許綁定非本機地址。
+# 只有 MCP_HOST 使用非本機地址時才設為 true。
+MCP_ALLOW_REMOTE=false
+
+# 允許的 HTTP Host，逗號分隔。
+# 本機可留空；遠端應填公開域名，例如 mcp.example.com。
+MCP_ALLOWED_HOSTS=
+
+# user_oauth 必填：MCP 對 Client 公開的 origin，不包含 /mcp。
+# 本機範例與 PingCode callback：
+# MCP_PUBLIC_BASE_URL=http://localhost:3000
+# callback=http://localhost:3000/auth/pingcode/callback
+MCP_PUBLIC_BASE_URL=
+
+# OAuth 狀態儲存方式：
+# - memory：只供本機 UAT。
+# - redis：正式／多 instance 部署必須使用。
+MCP_OAUTH_STORE=memory
+
+# 使用 redis Store 時必填；應由 Secret Manager 注入，不要提交真實密碼。
+MCP_OAUTH_REDIS_URL=
+
+# 是否優先支援 OAuth Client ID Metadata Documents；不支援 CIMD 的 Client 仍回退 DCR。
+MCP_OAUTH_CIMD_ENABLED=true
+
+# 選填：允許取得 CIMD metadata 的 HTTPS host，逗號分隔；留空表示允許所有公網 host。
+# 企業部署可依 UAT 結果限制，例如：client.example.com,another-client.example.com
+MCP_OAUTH_CIMD_ALLOWED_HOSTS=
+
+# DCR fallback Client 註冊有效期，單位秒；預設 365 天，允許範圍 1 天至 2 年。
+MCP_OAUTH_DCR_CLIENT_TTL_SECONDS=31536000
+
+# user_oauth 必填：Base64 編碼的 32-byte AES 加密金鑰。
+# 本機可執行：openssl rand -base64 32
+MCP_OAUTH_ENCRYPTION_KEY=replace-with-output-of-openssl-rand-base64-32
+
+# MCP Access Token 有效期，單位秒；允許範圍 300～86400。
+MCP_OAUTH_ACCESS_TOKEN_TTL_SECONDS=3600
+
+# MCP Refresh Token／OAuth Session 有效期，單位秒；預設 30 天。
+MCP_OAUTH_REFRESH_TOKEN_TTL_SECONDS=2592000
+
+# 是否啟用本機程序級 JSON Metrics endpoint：GET /metrics。
+# 預設關閉；正式環境只應供監控系統經內網或 Gateway 存取。
+MCP_METRICS_ENABLED=false
+
+# Metrics 專用 Bearer Token；啟用時至少 32 字元，必須由 Secret Manager 注入。
+# 不得重用 PingCode Token、MCP OAuth Token 或 Client Secret。
+MCP_METRICS_BEARER_TOKEN=
+
+# Server 是否要求 MCP Client 顯示 Commit 確認。即使免確認，仍執行 Preview、Approval、request hash、
+# session binding、幂等與 Audit Log。可選 required（預設）、update、delete 或 none。
+PINGCODE_WRITE_CONFIRMATION=required
+
+# 寫入 Approval 專用 HMAC 金鑰，必須是 Base64 編碼的 32-byte 隨機值。
+# 本機 stdio 可留空，由程序啟動時隨機生成；HTTP 或非本機部署必須配置並由 Secret Manager 管理。
+# 產生方式：openssl rand -base64 32
+PINGCODE_WRITE_APPROVAL_SECRET=replace-with-output-of-openssl-rand-base64-32
+
+# Approval 與幂等紀錄有效期，單位秒。
+PINGCODE_WRITE_APPROVAL_TTL_SECONDS=1800
+PINGCODE_WRITE_IDEMPOTENCY_TTL_SECONDS=604800
+
+# 寫入幂等狀態儲存。本機 UAT 可用 memory；非本機部署強制使用 redis。
+PINGCODE_WRITE_STORE=memory
+PINGCODE_WRITE_REDIS_URL=
+
+# 日誌級別，可選 debug、info、warn、error。
+LOG_LEVEL=info
+
+# 選填：從另一個絕對路徑載入環境檔。
+# 此變數應由啟動程序或 MCP Client 設定，不要寫在它指向的環境檔內。
+# PINGCODE_ENV_FILE=/absolute/path/to/pingcode-mcp.env

package/.env.stdio.local.example

@@ -0,0 +1,13 @@
+# 本機 stdio 最小設定。
+# 複製為 .env 後，只填 PingCode enterprise Client Credentials。
+# stdio 不支援 user_oauth，也不需要 Redis、callback、公開 URL 或 OAuth Store。
+
+PINGCODE_AUTH_MODE=enterprise
+PINGCODE_CLIENT_ID=replace-with-enterprise-client-id
+PINGCODE_CLIENT_SECRET=replace-with-enterprise-client-secret
+
+# MCP 固定提供受控写入能力；只可搭配专用 UAT 凭据。stdio 用户在 MCP Client 中确认 Commit Tool，
+# 不需要手动生成或粘贴 Approval Token，也不需要配置 Approval Secret。
+# VS Code、ZCode 等客户端的工具审批弹窗由客户端控制，不由 MCP Server 或 .env 控制。
+# 未配置时，stdio Server 每次启动会在内存中生成随机 Approval Secret，不写入磁盘或日志。
+PINGCODE_WRITE_CONFIRMATION=required

package/README.md

@@ -0,0 +1,222 @@
+# PingCode MCP
+
+讓 VS Code、Cursor、Qoder、ZCode 等 Coding Agent 安全連接 PingCode：讀取 Wiki、工作項目、Test Case 與測試庫上下文，並以 Preview → Approval → Commit 流程控管寫入與同步。適合 UAT 規劃、需求追蹤和測試資料維護，不提供任意 REST API 代理。
+
+## 支援範圍
+
+支援 Wiki、Task／工作項目、Test Case、測試庫、Project、Ship、Relation、使用者與成員角色的讀取，以及受控的 Task／Test Case、Project、Test Library、Ship、Relation、成員角色與需求模組寫入流程。寫入固定要求獨立權限、Preview、有效 Approval、幂等與稽核。
+
+不支援 Wiki 寫入、Task／Project／Test Library／Idea 刪除或任意 PingCode REST API 代理；也不會主動刪除關係另一端資源。
+
+## 快速安裝（推薦）
+
+需要 Node.js 20 以上，以及在 PingCode 建立的 **enterprise 應用程式憑據**。npm 套件是 scoped package `@xurenxiang1219/pingcode-mcp`；請保留 scope，避免安裝到另一個同名套件。
+
+### 1. 設定 PingCode 憑據
+
+有兩種方式，選一種即可。
+
+**推薦：使用私有環境檔**
+
+將 `.env.stdio.local.example` 複製到只供本機使用的位置（例如 `/absolute/private/path/pingcode-mcp.env`），填入：
+
+```env
+PINGCODE_AUTH_MODE=enterprise
+PINGCODE_CLIENT_ID=your-pingcode-client-id
+PINGCODE_CLIENT_SECRET=your-pingcode-client-secret
+```
+
+**懶人模式：直接放進 Client 的 `env`**
+
+不想另外建立環境檔時，可以直接在 MCP 設定的 `env` 中加入：
+
+```json
+"env": {
+  "PINGCODE_AUTH_MODE": "enterprise",
+  "PINGCODE_CLIENT_ID": "your-pingcode-client-id",
+  "PINGCODE_CLIENT_SECRET": "your-pingcode-client-secret"
+}
+```
+
+這種方式最省事，但 Secret 會以明文保存在 Client 設定檔，只建議用於個人本機；不要提交、同步或分享該設定。stdio 模式會在程序記憶體中產生短效 Approval Secret，不需要手動產生或貼上 Approval Token。
+
+### 2. 連接 MCP Client
+
+#### VS Code
+
+在終端機執行以下命令，將 Server 加入 VS Code 的 MCP 設定。請把環境檔路徑換成你的絕對路徑：
+
+```bash
+code --add-mcp '{"name":"pingcode","command":"npx","args":["-y","@xurenxiang1219/pingcode-mcp","--stdio","--env-file","/absolute/private/path/pingcode-mcp.env"]}'
+```
+
+不想建立環境檔時，也可以直接在命令中傳入憑據：
+
+```bash
+code --add-mcp '{"name":"pingcode","command":"npx","args":["-y","@xurenxiang1219/pingcode-mcp","--stdio"],"env":{"PINGCODE_AUTH_MODE":"enterprise","PINGCODE_CLIENT_ID":"your-pingcode-client-id","PINGCODE_CLIENT_SECRET":"your-pingcode-client-secret"}}'
+```
+
+直接傳入的 Secret 會保存在 VS Code MCP 設定中，只建議用於個人本機；不要提交、同步或分享該設定。
+
+也可以在工作區 `.vscode/mcp.json` 使用相同的 stdio Server；本 repository 已提供可直接使用的範例。
+
+#### Cursor、Qoder、ZCode
+
+這些 Client 使用 `mcpServers` 設定。將下列區塊放入各自的 MCP 設定檔（或在設定介面新增同等欄位），並替換環境檔的絕對路徑：
+
+```json
+{
+  "mcpServers": {
+    "pingcode": {
+      "command": "npx",
+      "args": [
+        "-y",
+        "@xurenxiang1219/pingcode-mcp",
+        "--stdio",
+        "--env-file",
+        "/absolute/private/path/pingcode-mcp.env"
+      ]
+    }
+  }
+}
+```
+
+不想建立環境檔時，使用下面的完整設定，直接填入 Client ID 與 Client Secret：
+
+```json
+{
+  "mcpServers": {
+    "pingcode": {
+      "command": "npx",
+      "args": ["-y", "@xurenxiang1219/pingcode-mcp", "--stdio"],
+      "env": {
+        "PINGCODE_AUTH_MODE": "enterprise",
+        "PINGCODE_CLIENT_ID": "your-pingcode-client-id",
+        "PINGCODE_CLIENT_SECRET": "your-pingcode-client-secret"
+      }
+    }
+  }
+}
+```
+
+如 Client 不支援 `--env-file` 參數，也可改用 `env` 傳入 `PINGCODE_ENV_FILE`，讓 Server 從私有環境檔讀取：
+
+```json
+{
+  "mcpServers": {
+    "pingcode": {
+      "command": "npx",
+      "args": ["-y", "@xurenxiang1219/pingcode-mcp", "--stdio"],
+      "env": {
+        "PINGCODE_ENV_FILE": "/absolute/private/path/pingcode-mcp.env"
+      }
+    }
+  }
+}
+```
+
+### 3. 啟動與首次寫入
+
+啟動後先使用 Preview Tool 檢視變更，再由 Agent 呼叫對應的 Commit Tool。Server 會驗證 Preview hash、Approval Context、會話綁定、request hash、幂等鍵並記錄 `auditId`；是否顯示額外的 MCP Client 確認由 `PINGCODE_WRITE_CONFIRMATION` 控制（預設 `required`）。
+
+stdio 本機模式不要求使用者手動生成 Approval Token；是否顯示額外確認由 `PINGCODE_WRITE_CONFIRMATION` 決定。
+
+## 認證與環境變數
+
+最小 stdio 設定只有以下三項：
+
+| 變數 | 說明 |
+| --- | --- |
+| `PINGCODE_AUTH_MODE` | stdio 使用 `enterprise` |
+| `PINGCODE_CLIENT_ID` | PingCode 應用程式 Client ID |
+| `PINGCODE_CLIENT_SECRET` | PingCode 應用程式 Client Secret；建議放在私有環境檔或 Secret Manager，個人本機可直接設在 Client `env` |
+
+程式也支援 `--env-file /path/to/file`、`--env-file=/path/to/file`，以及 `PINGCODE_ENV_FILE`。未指定時才會嘗試目前 package 目錄下的 `.env`。
+
+## 進階：從原始碼執行
+
+適合需要修改程式、執行測試或使用工作區 `.vscode/mcp.json` 的情境：
+
+```bash
+git clone https://github.com/xurenxiang1219/pingcode-mcp.git
+cd pingcode-mcp
+npm ci
+cp .env.stdio.local.example .env
+# 編輯 .env，填入 PINGCODE_CLIENT_ID 與 PINGCODE_CLIENT_SECRET
+npm run build
+```
+
+完成後可在 VS Code 開啟此資料夾。`.vscode/mcp.json` 會以 `${workspaceFolder}/dist/index.js --stdio` 啟動 Server，並讀取同資料夾的 `.env`。
+
+也可以直接啟動 npm 套件：
+
+```bash
+npx -y @xurenxiang1219/pingcode-mcp --stdio --env-file /absolute/private/path/pingcode-mcp.env
+```
+
+首次發佈由 package 維護者執行 `npm login` 後再執行 `npm publish --access public`；本 repository 不會在開發或測試時自動發佈。
+
+## 工具
+
+### 唯讀與上下文
+
+- `pingcode_uat_runtime_info`
+- `pingcode_wiki_list_spaces`
+- `pingcode_wiki_list_pages`
+- `pingcode_wiki_get_requirement_context`
+- `pingcode_task_list`
+- `pingcode_task_get`
+- `pingcode_test_case_list`
+- `pingcode_test_case_get`
+- `pingcode_project_list`
+- `pingcode_work_item_metadata_get`
+- `pingcode_test_library_list`
+- `pingcode_test_library_get`
+- `pingcode_test_case_metadata_get`
+- `pingcode_user_list`
+- `pingcode_role_list`
+- `pingcode_user_search`
+- `pingcode_project_context_get`
+- `pingcode_project_context_save`
+- `pingcode_ship_product_list`
+- `pingcode_ship_product_get`
+- `pingcode_ship_idea_list`
+- `pingcode_ship_product_idea_list`
+- `pingcode_ship_idea_get`
+- `pingcode_ship_product_suite_list`
+- `pingcode_ship_product_suite_get`
+- `pingcode_relation_list`
+- `pingcode_relation_get`
+- `pingcode_member_role_get`
+
+### Preview、Commit 與受控寫入
+
+- `pingcode_test_case_delete_preview` / `pingcode_test_case_delete_commit`
+- `pingcode_test_case_bulk_create_preview` / `pingcode_test_case_bulk_create_commit`
+- `pingcode_ship_product_sync_preview` / `pingcode_ship_product_sync_commit`
+- `pingcode_ship_idea_sync_preview` / `pingcode_ship_idea_sync_commit`
+- `pingcode_task_sync_preview` / `pingcode_task_sync_commit`
+- `pingcode_test_case_sync_preview` / `pingcode_test_case_sync_commit`
+- `pingcode_ship_product_suite_create_preview` / `pingcode_ship_product_suite_create_commit`
+- `pingcode_ship_product_suite_remove_preview` / `pingcode_ship_product_suite_remove_commit`
+- `pingcode_relation_sync_preview` / `pingcode_relation_sync_commit`
+- `pingcode_member_role_update_preview` / `pingcode_member_role_update_commit`
+- `pingcode_project_create_preview` / `pingcode_project_create_commit`
+- `pingcode_test_library_create_preview` / `pingcode_test_library_create_commit`
+
+## 安全機制與限制
+
+- 唯讀與 Preview Tool 不修改 PingCode；所有 Commit Tool 都需要有效 Approval、不可變 request hash、Preview 證據、Approval Context、會話綁定和 idempotency key。
+- PingCode 寫入請求不自動重試；結果不確定時，先用對應唯讀 Tool 回讀確認。
+- Test Case 刪除必須先 Preview，再由獨立 Commit Tool 執行；完成後 MCP 會回讀確認用例不存在，並保留 Approval、hash、幂等鍵與稽核資料。
+- 資源名稱、ID、成員與其他候選都必須來自 PingCode 目錄或使用者明確確認，不得猜測，也不得用空字串、`@` 或 `*` 作為通配符。
+- 需要建立 `private` 專案或重用既有上下文時，Agent 必須先取得使用者確認；沒有確認的唯一候選也不能直接套用。
+- Client ID、Client Secret、Token、Cookie 與客戶資料只應放在本機私有環境或 Secret Manager，不要提交、同步或分享。
+
+## 本機開發驗證
+
+```bash
+npm run typecheck
+npm test
+npm run build
+```

package/dist/approve-write.d.ts

@@ -0,0 +1,3 @@
+#!/usr/bin/env node
+export {};
+//# sourceMappingURL=approve-write.d.ts.map

package/dist/approve-write.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"approve-write.d.ts","sourceRoot":"","sources":["../src/approve-write.ts"],"names":[],"mappings":""}

package/dist/approve-write.js

@@ -0,0 +1,81 @@
+#!/usr/bin/env node
+import { loadConfig } from "./config.js";
+import { loadEnvironment } from "./environment.js";
+import { createApprovalToken, isWriteResourceType, writeResourceTypes } from "./write/approval.js";
+loadEnvironment();
+const resourceTypeList = writeResourceTypes.join("、");
+const resourceTypeUsage = writeResourceTypes.join("|");
+function main() {
+    const args = parseArgs(process.argv.slice(2));
+    const config = loadConfig();
+    if (!config.write.approvalSecret) {
+        throw new Error("尚未配置 PINGCODE_WRITE_APPROVAL_SECRET");
+    }
+    const resourceType = args.resource_type;
+    if (!isWriteResourceType(resourceType)) {
+        throw new Error(`--resource-type 必須是 ${resourceTypeList}`);
+    }
+    const requestHash = args.request_hash;
+    if (!requestHash || !/^sha256:[0-9a-f]{64}$/.test(requestHash)) {
+        throw new Error("--request-hash 必須是 Preview 返回的 sha256 hash");
+    }
+    const approvalContextId = args.approval_context_id;
+    if (!approvalContextId ||
+        !/^[0-9a-f]{8}-[0-9a-f]{4}-[1-5][0-9a-f]{3}-[89ab][0-9a-f]{3}-[0-9a-f]{12}$/i.test(approvalContextId)) {
+        throw new Error("--approval-context-id 必須是 Preview 返回的 UUID");
+    }
+    const sessionBinding = requireHash(args.session_binding, "--session-binding");
+    const evidenceHash = requireHash(args.evidence_hash, "--evidence-hash");
+    const approvedBy = args.approved_by?.trim();
+    if (!approvedBy) {
+        throw new Error("必須提供 --approved-by");
+    }
+    const expiresAt = new Date(Date.now() + config.write.approvalTtlSeconds * 1000).toISOString();
+    const token = createApprovalToken({
+        version: 2,
+        approvalContextId,
+        sessionBinding,
+        evidenceHash,
+        requestHash,
+        resourceType: resourceType,
+        approvedBy,
+        expiresAt,
+    }, config.write.approvalSecret);
+    process.stdout.write(`${JSON.stringify({
+        approvalToken: token,
+        approvalContextId,
+        sessionBinding,
+        evidenceHash,
+        requestHash,
+        expiresAt,
+    }, null, 2)}\n`);
+}
+function requireHash(value, flag) {
+    if (!value || !/^sha256:[0-9a-f]{64}$/.test(value)) {
+        throw new Error(`${flag} 必須是 Preview 返回的 sha256 hash`);
+    }
+    return value;
+}
+function parseArgs(values) {
+    const result = {};
+    for (let index = 0; index < values.length; index += 2) {
+        const flag = values[index];
+        const value = values[index + 1];
+        if (!flag?.startsWith("--") || value === undefined) {
+            throw new Error(`用法：npm run approve:write -- --resource-type <${resourceTypeUsage}> --request-hash <sha256:...> --approval-context-id <uuid> --session-binding <sha256:...> --evidence-hash <sha256:...> --approved-by <name>`);
+        }
+        result[flag.slice(2).replaceAll("-", "_")] = value;
+    }
+    return result;
+}
+try {
+    main();
+}
+catch (error) {
+    process.stderr.write(`${JSON.stringify({
+        status: "error",
+        message: error instanceof Error ? error.message : "產生 Approval Token 失敗",
+    })}\n`);
+    process.exit(1);
+}
+//# sourceMappingURL=approve-write.js.map

package/dist/approve-write.js.map

@@ -0,0 +1 @@
+{"version":3,"file":"approve-write.js","sourceRoot":"","sources":["../src/approve-write.ts"],"names":[],"mappings":";AAEA,OAAO,EAAE,UAAU,EAAE,MAAM,aAAa,CAAC;AACzC,OAAO,EAAE,eAAe,EAAE,MAAM,kBAAkB,CAAC;AACnD,OAAO,EAAE,mBAAmB,EAAE,mBAAmB,EAAE,kBAAkB,EAAE,MAAM,qBAAqB,CAAC;AAEnG,eAAe,EAAE,CAAC;AAElB,MAAM,gBAAgB,GAAG,kBAAkB,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC;AACtD,MAAM,iBAAiB,GAAG,kBAAkB,CAAC,IAAI,CAAC,GAAG,CAAC,CAAC;AAEvD,SAAS,IAAI;IACX,MAAM,IAAI,GAAG,SAAS,CAAC,OAAO,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,CAAC;IAC9C,MAAM,MAAM,GAAG,UAAU,EAAE,CAAC;IAC5B,IAAI,CAAC,MAAM,CAAC,KAAK,CAAC,cAAc,EAAE,CAAC;QACjC,MAAM,IAAI,KAAK,CAAC,qCAAqC,CAAC,CAAC;IACzD,CAAC;IACD,MAAM,YAAY,GAAG,IAAI,CAAC,aAAa,CAAC;IACxC,IAAI,CAAC,mBAAmB,CAAC,YAAY,CAAC,EAAE,CAAC;QACvC,MAAM,IAAI,KAAK,CAAC,uBAAuB,gBAAgB,EAAE,CAAC,CAAC;IAC7D,CAAC;IACD,MAAM,WAAW,GAAG,IAAI,CAAC,YAAY,CAAC;IACtC,IAAI,CAAC,WAAW,IAAI,CAAC,uBAAuB,CAAC,IAAI,CAAC,WAAW,CAAC,EAAE,CAAC;QAC/D,MAAM,IAAI,KAAK,CAAC,4CAA4C,CAAC,CAAC;IAChE,CAAC;IACD,MAAM,iBAAiB,GAAG,IAAI,CAAC,mBAAmB,CAAC;IACnD,IACE,CAAC,iBAAiB;QAClB,CAAC,4EAA4E,CAAC,IAAI,CAChF,iBAAiB,CAClB,EACD,CAAC;QACD,MAAM,IAAI,KAAK,CAAC,4CAA4C,CAAC,CAAC;IAChE,CAAC;IACD,MAAM,cAAc,GAAG,WAAW,CAAC,IAAI,CAAC,eAAe,EAAE,mBAAmB,CAAC,CAAC;IAC9E,MAAM,YAAY,GAAG,WAAW,CAAC,IAAI,CAAC,aAAa,EAAE,iBAAiB,CAAC,CAAC;IACxE,MAAM,UAAU,GAAG,IAAI,CAAC,WAAW,EAAE,IAAI,EAAE,CAAC;IAC5C,IAAI,CAAC,UAAU,EAAE,CAAC;QAChB,MAAM,IAAI,KAAK,CAAC,oBAAoB,CAAC,CAAC;IACxC,CAAC;IACD,MAAM,SAAS,GAAG,IAAI,IAAI,CAAC,IAAI,CAAC,GAAG,EAAE,GAAG,MAAM,CAAC,KAAK,CAAC,kBAAkB,GAAG,IAAI,CAAC,CAAC,WAAW,EAAE,CAAC;IAC9F,MAAM,KAAK,GAAG,mBAAmB,CAC/B;QACE,OAAO,EAAE,CAAC;QACV,iBAAiB;QACjB,cAAc;QACd,YAAY;QACZ,WAAW;QACX,YAAY,EAAE,YAAY;QAC1B,UAAU;QACV,SAAS;KACV,EACD,MAAM,CAAC,KAAK,CAAC,cAAc,CAC5B,CAAC;IACF,OAAO,CAAC,MAAM,CAAC,KAAK,CAClB,GAAG,IAAI,CAAC,SAAS,CACf;QACE,aAAa,EAAE,KAAK;QACpB,iBAAiB;QACjB,cAAc;QACd,YAAY;QACZ,WAAW;QACX,SAAS;KACV,EACD,IAAI,EACJ,CAAC,CACF,IAAI,CACN,CAAC;AACJ,CAAC;AAED,SAAS,WAAW,CAAC,KAAyB,EAAE,IAAY;IAC1D,IAAI,CAAC,KAAK,IAAI,CAAC,uBAAuB,CAAC,IAAI,CAAC,KAAK,CAAC,EAAE,CAAC;QACnD,MAAM,IAAI,KAAK,CAAC,GAAG,IAAI,8BAA8B,CAAC,CAAC;IACzD,CAAC;IACD,OAAO,KAAK,CAAC;AACf,CAAC;AAED,SAAS,SAAS,CAAC,MAAgB;IACjC,MAAM,MAAM,GAAuC,EAAE,CAAC;IACtD,KAAK,IAAI,KAAK,GAAG,CAAC,EAAE,KAAK,GAAG,MAAM,CAAC,MAAM,EAAE,KAAK,IAAI,CAAC,EAAE,CAAC;QACtD,MAAM,IAAI,GAAG,MAAM,CAAC,KAAK,CAAC,CAAC;QAC3B,MAAM,KAAK,GAAG,MAAM,CAAC,KAAK,GAAG,CAAC,CAAC,CAAC;QAChC,IAAI,CAAC,IAAI,EAAE,UAAU,CAAC,IAAI,CAAC,IAAI,KAAK,KAAK,SAAS,EAAE,CAAC;YACnD,MAAM,IAAI,KAAK,CACb,gDAAgD,iBAAiB,6IAA6I,CAC/M,CAAC;QACJ,CAAC;QACD,MAAM,CAAC,IAAI,CAAC,KAAK,CAAC,CAAC,CAAC,CAAC,UAAU,CAAC,GAAG,EAAE,GAAG,CAAC,CAAC,GAAG,KAAK,CAAC;IACrD,CAAC;IACD,OAAO,MAAM,CAAC;AAChB,CAAC;AAED,IAAI,CAAC;IACH,IAAI,EAAE,CAAC;AACT,CAAC;AAAC,OAAO,KAAK,EAAE,CAAC;IACf,OAAO,CAAC,MAAM,CAAC,KAAK,CAClB,GAAG,IAAI,CAAC,SAAS,CAAC;QAChB,MAAM,EAAE,OAAO;QACf,OAAO,EAAE,KAAK,YAAY,KAAK,CAAC,CAAC,CAAC,KAAK,CAAC,OAAO,CAAC,CAAC,CAAC,sBAAsB;KACzE,CAAC,IAAI,CACP,CAAC;IACF,OAAO,CAAC,IAAI,CAAC,CAAC,CAAC,CAAC;AAClB,CAAC"}

package/dist/auth/cimd-client-resolver.d.ts

@@ -0,0 +1,35 @@
+import type { LookupAddress } from "node:dns";
+import { type OAuthClientInformationFull } from "@modelcontextprotocol/sdk/shared/auth.js";
+import type { Logger } from "../logger.js";
+export interface CimdDocumentResponse {
+    status: number;
+    contentType: string | null;
+    cacheControl: string | null;
+    body: string;
+}
+export interface CimdClientResolverLike {
+    resolve(clientId: string): Promise<OAuthClientInformationFull | undefined>;
+}
+interface CimdClientResolverOptions {
+    logger: Logger;
+    allowedHosts?: string[];
+    timeoutMs?: number;
+    maxResponseBytes?: number;
+    lookup?: (hostname: string) => Promise<LookupAddress[]>;
+    requestDocument?: (url: URL, addresses: LookupAddress[], timeoutMs: number, maxResponseBytes: number) => Promise<CimdDocumentResponse>;
+    now?: () => number;
+}
+export declare class CimdClientResolver implements CimdClientResolverLike {
+    private readonly options;
+    private readonly cache;
+    private readonly allowedHosts;
+    private readonly timeoutMs;
+    private readonly maxResponseBytes;
+    private readonly lookup;
+    private readonly requestDocument;
+    private readonly now;
+    constructor(options: CimdClientResolverOptions);
+    resolve(clientId: string): Promise<OAuthClientInformationFull | undefined>;
+}
+export {};
+//# sourceMappingURL=cimd-client-resolver.d.ts.map

package/dist/auth/cimd-client-resolver.d.ts.map

@@ -0,0 +1 @@
+{"version":3,"file":"cimd-client-resolver.d.ts","sourceRoot":"","sources":["../../src/auth/cimd-client-resolver.ts"],"names":[],"mappings":"AACA,OAAO,KAAK,EAAE,aAAa,EAAE,MAAM,UAAU,CAAC;AAK9C,OAAO,EAGL,KAAK,0BAA0B,EAChC,MAAM,0CAA0C,CAAC;AAElD,OAAO,KAAK,EAAE,MAAM,EAAE,MAAM,cAAc,CAAC;AAa3C,MAAM,WAAW,oBAAoB;IACnC,MAAM,EAAE,MAAM,CAAC;IACf,WAAW,EAAE,MAAM,GAAG,IAAI,CAAC;IAC3B,YAAY,EAAE,MAAM,GAAG,IAAI,CAAC;IAC5B,IAAI,EAAE,MAAM,CAAC;CACd;AAED,MAAM,WAAW,sBAAsB;IACrC,OAAO,CAAC,QAAQ,EAAE,MAAM,GAAG,OAAO,CAAC,0BAA0B,GAAG,SAAS,CAAC,CAAC;CAC5E;AAED,UAAU,yBAAyB;IACjC,MAAM,EAAE,MAAM,CAAC;IACf,YAAY,CAAC,EAAE,MAAM,EAAE,CAAC;IACxB,SAAS,CAAC,EAAE,MAAM,CAAC;IACnB,gBAAgB,CAAC,EAAE,MAAM,CAAC;IAC1B,MAAM,CAAC,EAAE,CAAC,QAAQ,EAAE,MAAM,KAAK,OAAO,CAAC,aAAa,EAAE,CAAC,CAAC;IACxD,eAAe,CAAC,EAAE,CAChB,GAAG,EAAE,GAAG,EACR,SAAS,EAAE,aAAa,EAAE,EAC1B,SAAS,EAAE,MAAM,EACjB,gBAAgB,EAAE,MAAM,KACrB,OAAO,CAAC,oBAAoB,CAAC,CAAC;IACnC,GAAG,CAAC,EAAE,MAAM,MAAM,CAAC;CACpB;AAOD,qBAAa,kBAAmB,YAAW,sBAAsB;IASnD,OAAO,CAAC,QAAQ,CAAC,OAAO;IARpC,OAAO,CAAC,QAAQ,CAAC,KAAK,CAAmC;IACzD,OAAO,CAAC,QAAQ,CAAC,YAAY,CAAc;IAC3C,OAAO,CAAC,QAAQ,CAAC,SAAS,CAAS;IACnC,OAAO,CAAC,QAAQ,CAAC,gBAAgB,CAAS;IAC1C,OAAO,CAAC,QAAQ,CAAC,MAAM,CAAiD;IACxE,OAAO,CAAC,QAAQ,CAAC,eAAe,CAA4D;IAC5F,OAAO,CAAC,QAAQ,CAAC,GAAG,CAAe;gBAEN,OAAO,EAAE,yBAAyB;IAWzD,OAAO,CAAC,QAAQ,EAAE,MAAM,GAAG,OAAO,CAAC,0BAA0B,GAAG,SAAS,CAAC;CAwGjF"}