dsh-mcp-connector 0.2.7 → 0.2.8

package/CHANGELOG.md

@@ -4,6 +4,28 @@
 
 ## [Unreleased]
 
+## [0.2.8] - 2026-08-22
+
+### Fixed
+
+- 工具详情改为执行完整的 Streamable HTTP MCP 会话流程：`initialize` 后保存 `Mcp-Session-Id`，发送 `notifications/initialized`，再携带会话、协议版本和凭据请求 `tools/list`，修复 QVeris 等有状态 MCP Server 返回 HTTP 400 的问题。
+- 会话结束后尽力发送 `DELETE` 释放服务端资源；鉴权失败、限流、HTTP/协议错误继续按类型更新连接健康状态。
+
+### Registry
+
+- 将 QVeris 工具快照校正为托管端实际返回的 8 个工具；移除当前运行时不存在的 `probe`，补充 3 个兼容旧客户端的弃用别名。
+- QVeris 精选 Prompt 仅使用实际可用的 `discover`、`inspect` 和用量审计工具；未经用户明确确认仍不执行可能消耗 Credits 的 `call`/`execute_tool`。
+
+### Documentation
+
+- 统一 QVerisMCP 品牌名称，记录官方 Logo 因 `same-origin` 策略需由 Registry 自托管的 Desktop 兼容方案。
+- 将已于 `0.1.0`–`0.2.0` 完成的 v2 详情页实施计划标记为已完成/归档，避免与当前待办混淆。
+
+### Verification
+
+- 69 项自动测试、lint 与 44 个 npm 发布文件白名单/敏感内容扫描通过。
+- 使用 DSH 本机已保存的 QVeris API Key 完成真实只读验收：协议版本 `2025-03-26`、有状态会话建立成功、`tools/list` 返回 8 个工具；未执行任何付费能力调用。
+
 ## [0.2.7] - 2026-08-22
 
 ### Added
@@ -20,6 +42,7 @@
 
 - 自动化门禁通过 69 项测试与 43 个 npm 发布文件白名单/敏感内容扫描。
 - QVeris Hosted MCP 无凭据公网探针返回预期的 HTTP 401，确认端点可达且正确要求 Bearer Key；未进行付费 `call`。
+- DSH Desktop `web` profile 已精确对齐 `dsh-mcp-connector@0.2.7`；完全重启后左侧入口、中文单语界面、组合筛选和 8 张市场卡片通过，19 条连接和 4 组授权保持不变。
 
 ## [0.2.6] - 2026-08-21
 
@@ -164,7 +187,8 @@
 - 外部 URL 与导入 Header 执行安全校验。
 - iframe 消息校验同源和消息来源。
 
-[Unreleased]: https://github.com/duhu2000/dsh-mcp-connector/compare/v0.2.7...HEAD
+[Unreleased]: https://github.com/duhu2000/dsh-mcp-connector/compare/v0.2.8...HEAD
+[0.2.8]: https://github.com/duhu2000/dsh-mcp-connector/compare/v0.2.7...v0.2.8
 [0.2.7]: https://github.com/duhu2000/dsh-mcp-connector/compare/v0.2.6...v0.2.7
 [0.2.6]: https://github.com/duhu2000/dsh-mcp-connector/compare/v0.2.5...v0.2.6
 [0.2.5]: https://github.com/duhu2000/dsh-mcp-connector/compare/v0.2.4...v0.2.5

package/README.md

@@ -28,7 +28,7 @@
 - 平滑迁移：显式扫描并复制两个旧企查查 OAuth 插件授权；不删除原插件或原凭据。
 - 对话工具：`mcp_connector_catalog`、`connect`、`configure`、`import_json`、`install_from_url`、`status`、`health_check`、`set_enabled`、`disconnect`、`refresh_catalog`、`publish`、`tools_list`。
 
-随包目录前 4 张为企查查连接器，另含“北大法宝·法律检索”和“Wind·股票数据”。远程 Registry 刷新后还会加入“盈米·基金投顾”和“QVeris·通用能力网络”，当前共 8 张已发布市场卡片；插件架构不限定厂商。
+随包目录前 4 张为企查查连接器，另含“北大法宝·法律检索”和“Wind·股票数据”。远程 Registry 刷新后还会加入“盈米·基金投顾”和“QVerisMCP”，当前共 8 张已发布市场卡片；插件架构不限定厂商。
 
 ## 界面与演示
 

package/docs/MARKET-REGISTRATION.md

@@ -117,26 +117,34 @@ Bearer/API Key 型连接器可在卡片上点「配置」，一次填写凭据
 
 - https://aifinmarket.wind.com.cn/#/market?tab=mcps&detailType=mcp&detailId=wind_stock_data-0
 
-## 8. QVeris 通用能力网络适配结论
+## 8. QVerisMCP 适配结论
 
 QVeris Hosted MCP 提供单一 Streamable HTTP 端点 `https://mcp.qveris.ai/mcp`，
 通过 `Authorization: Bearer <QVERIS_API_KEY>` 鉴权，与本插件现有的 Bearer
 凭据表单、持久化前 `initialize` 校验和 Streamable HTTP 传输完全兼容。
 
-市场卡片只列出 QVeris 对 MCP 暴露的 6 个路由/审计工具：`discover`、
-`inspect`、`probe`、`call`、`usage_history` 和 `credits_ledger`。官方宣传的
-上万项能力是经 `discover` 找到的下游能力，不写成上万个 MCP 工具。
+2026-08-22 使用真实 API Key 完成只读 `tools/list` 验收，QVeris 托管端实际返回
+8 个 MCP 工具：`discover`、`inspect`、`call`、`usage_history`、
+`credits_ledger`，以及 3 个兼容旧客户端的弃用别名 `search_tools`、
+`get_tools_by_ids`、`execute_tool`。当前运行时没有官网文档所列的 `probe`；
+市场快照以实际端点为准。官方宣传的上万项能力是经 `discover` 找到的下游能力，
+不写成上万个 MCP 工具。
 
 由于 `call` 可能消耗 Credits，且查询内容可能由第三方服务商处理，
 该卡片保持 `featured: false`，并执行以下产品约束：
 
-- Prompt 默认只执行免费 `discover`/`inspect` 和零成本询价 `probe`；
-- 未经用户明确确认，不执行付费 `call`；
+- Prompt 默认只执行 `discover`/`inspect` 和用量审计工具；
+- 未经用户明确确认，不执行可能消耗 Credits 的 `call` 或弃用别名 `execute_tool`；
 - 卡片明确提醒用户不要提交未获授权的个人信息、商业秘密或敏感业务数据；
-- 未取得品牌授权前使用市场默认中性图标，不内置第三方商标资产。
-
-公共无凭据探针已确认端点可达并正确返回 HTTP 401；完整的
-`tools/list` 和免费发现/询价回归需要用户在 DSH 本机输入自有 API Key。
+- 市场使用用户指定的 QVeris 官方 Logo；由于官网原图返回
+  `Cross-Origin-Resource-Policy: same-origin`，在 DSH Desktop 中直链会被浏览器拦截，
+  Registry 因此保留官方原图像素并自托管于
+  `assets/qveris-logo.png`，对外提供可跨域嵌入的 Raw GitHub URL。
+
+公共无凭据探针已确认端点可达并正确返回 HTTP 401；使用 DSH 本机自有 API Key
+执行完整 `initialize → notifications/initialized → tools/list` 后，服务返回
+`Mcp-Session-Id`、协议版本 `2025-03-26` 和 8 个工具。验收未执行 `call` 或
+`execute_tool`，没有产生付费能力调用。
 
 参考：
 

package/lib/index.js

@@ -24,8 +24,9 @@ import { oauthAuthorize } from './connectors/oauth-connector.js';
 import { buildManualRecord } from './connectors/manual-connector.js';
 import { normalizeJsonImport } from './connectors/json-connector.js';
 import { discoverServerMetadata, refreshAccessToken, revokeRefreshToken } from './oauth.js';
-import { provision, disable, remove, entryIdFor, authHeaders } from './mcp-provision.js';
+import { provision, disable, remove, entryIdFor } from './mcp-provision.js';
 import { classifyConnectionError, validateConnectionRecords } from './mcp-validation.js';
+import { listMcpTools, McpHttpError } from './mcp-http.js';
 import { registerTools } from './tools.js';
 import { mountWebRoutes } from './web.js';
 import { assertSafeUrl } from './util.js';
@@ -793,70 +794,33 @@ export async function apply(ctx, config) {
 
       const servers = [];
       for (const record of records) {
-        const headers = {
-          'Content-Type': 'application/json',
-          'Accept': 'application/json, text/event-stream',
-          ...authHeaders(record, grantMap()),
-        };
-
         try {
-          const response = await fetch(record.url, {
-            method: 'POST',
-            headers,
-            body: JSON.stringify({
-              jsonrpc: '2.0',
-              id: 1,
-              method: 'tools/list',
-              params: {},
-            }),
-            signal: AbortSignal.timeout(config.requestTimeoutMs),
+          const listed = await listMcpTools(record, {
+            timeoutMs: config.requestTimeoutMs,
+            grants: grantMap(),
           });
-
-          if (!response.ok) {
-            const error = response.status === 401 || response.status === 403
-              ? `凭据无效、已过期或权限不足（HTTP ${response.status}）`
-              : `HTTP ${response.status}`;
-            servers.push({
-              serverKey: record.serverKey || record.name,
-              serverName: record.serverName,
-              ok: false,
-              error,
-              errorKind: response.status === 401 || response.status === 403 ? 'auth' : 'http',
-              tools: [],
-            });
-            continue;
-          }
-
-          const contentType = response.headers.get('content-type') || '';
-          let result;
-          if (contentType.includes('text/event-stream')) {
-            // Parse SSE response
-            const text = await response.text();
-            const lines = text.split('\n');
-            for (const line of lines) {
-              if (line.startsWith('data: ')) {
-                try {
-                  result = JSON.parse(line.slice(6));
-                  break;
-                } catch {}
-              }
-            }
-          } else {
-            result = await response.json();
-          }
-
-          const tools = result?.result?.tools ?? [];
           servers.push({
             serverKey: record.serverKey || record.name,
             serverName: record.serverName,
             ok: true,
-            tools: tools.map((t) => ({
+            tools: listed.tools.map((t) => ({
               name: t.name,
               title: t.title || t.name,
               description: t.description || '',
             })),
           });
         } catch (error) {
+          if (error instanceof McpHttpError) {
+            servers.push({
+              serverKey: record.serverKey || record.name,
+              serverName: record.serverName,
+              ok: false,
+              error: error.message,
+              errorKind: error.kind,
+              tools: [],
+            });
+            continue;
+          }
           const classified = classifyConnectionError(error);
           servers.push({ serverKey: record.serverKey || record.name, serverName: record.serverName, ok: false, error: classified.message, errorKind: classified.kind, tools: [] });
         }

package/lib/mcp-http.js

@@ -0,0 +1,173 @@
+/**
+ * Streamable HTTP MCP 会话客户端。
+ *
+ * 详情页不能直接向有状态的 MCP Server 发送 tools/list：必须先
+ * initialize，保留响应的 Mcp-Session-Id，发送 notifications/initialized，
+ * 再在后续每个请求中携带会话头和凭据。
+ */
+import { MCP_PROTOCOL_VERSION } from './constants.js';
+import { authHeaders } from './mcp-provision.js';
+
+const MAX_RESPONSE_BYTES = 2 * 1024 * 1024;
+
+export class McpHttpError extends Error {
+  constructor(message, { kind = 'protocol', status } = {}) {
+    super(message);
+    this.name = 'McpHttpError';
+    this.kind = kind;
+    this.status = status;
+  }
+}
+
+async function readLimitedText(response, maxBytes = MAX_RESPONSE_BYTES) {
+  const declared = Number(response.headers.get('content-length'));
+  if (Number.isFinite(declared) && declared > maxBytes) throw new McpHttpError('MCP 响应过大');
+  if (!response.body) return '';
+  const reader = response.body.getReader();
+  const chunks = [];
+  let total = 0;
+  for (;;) {
+    const { done, value } = await reader.read();
+    if (done) break;
+    total += value.byteLength;
+    if (total > maxBytes) {
+      await reader.cancel().catch(() => {});
+      throw new McpHttpError('MCP 响应过大');
+    }
+    chunks.push(value);
+  }
+  const bytes = new Uint8Array(total);
+  let offset = 0;
+  for (const chunk of chunks) {
+    bytes.set(chunk, offset);
+    offset += chunk.byteLength;
+  }
+  return new TextDecoder().decode(bytes);
+}
+
+function parseMcpPayload(text, contentType = '') {
+  if (contentType.includes('text/event-stream')) {
+    for (const line of text.split(/\r?\n/)) {
+      if (!line.startsWith('data:')) continue;
+      try { return JSON.parse(line.slice(5).trim()); } catch {}
+    }
+    return undefined;
+  }
+  try { return JSON.parse(text); } catch { return undefined; }
+}
+
+function responseError(response, payload, text) {
+  const rawMessage = String(payload?.error?.message ?? text ?? '').replace(/\s+/g, ' ').trim().slice(0, 180);
+  if (response.status === 401 || response.status === 403) {
+    return new McpHttpError(`凭据无效、已过期或权限不足（HTTP ${response.status}）`, { kind: 'auth', status: response.status });
+  }
+  if (response.status === 429) {
+    return new McpHttpError('服务请求过于频繁（HTTP 429），请稍后重试', { kind: 'rate-limit', status: response.status });
+  }
+  const suffix = rawMessage ? `：${rawMessage}` : '';
+  return new McpHttpError(`MCP 请求失败（HTTP ${response.status}）${suffix}`, { kind: 'http', status: response.status });
+}
+
+function payloadError(payload) {
+  if (!payload?.error) return null;
+  const rawMessage = String(payload.error.message ?? '').replace(/\s+/g, ' ').slice(0, 180);
+  const kind = /unauthori[sz]ed|forbidden|invalid.?token|invalid.?key|credential|access.?denied|未授权|无权|密钥|令牌/i.test(rawMessage)
+    ? 'auth'
+    : 'protocol';
+  return new McpHttpError(`MCP 返回错误${rawMessage ? `：${rawMessage}` : ''}`, { kind });
+}
+
+function requestHeaders(record, grants, { sessionId, protocolVersion } = {}) {
+  return {
+    'Content-Type': 'application/json',
+    Accept: 'application/json, text/event-stream',
+    ...authHeaders(record, grants),
+    ...(sessionId ? { 'Mcp-Session-Id': sessionId } : {}),
+    ...(protocolVersion ? { 'MCP-Protocol-Version': protocolVersion } : {}),
+  };
+}
+
+async function post(record, payload, { grants, sessionId, protocolVersion, signal, fetchImpl }) {
+  const response = await fetchImpl(record.url, {
+    method: 'POST',
+    headers: requestHeaders(record, grants, { sessionId, protocolVersion }),
+    body: JSON.stringify(payload),
+    signal,
+    redirect: 'follow',
+  });
+  const text = await readLimitedText(response);
+  const parsed = parseMcpPayload(text, response.headers.get('content-type') ?? '');
+  return { response, text, payload: parsed };
+}
+
+async function closeSession(record, { grants, sessionId, protocolVersion, fetchImpl }) {
+  if (!sessionId) return;
+  try {
+    const response = await fetchImpl(record.url, {
+      method: 'DELETE',
+      headers: requestHeaders(record, grants, { sessionId, protocolVersion }),
+      redirect: 'follow',
+      signal: AbortSignal.timeout(3_000),
+    });
+    await response.body?.cancel().catch(() => {});
+  } catch {}
+}
+
+export async function listMcpTools(record, {
+  timeoutMs = 15_000,
+  fetchImpl = fetch,
+  grants = new Map(),
+} = {}) {
+  if (record.transport && record.transport !== 'streamable-http') {
+    throw new McpHttpError(`动态工具加载暂不支持 ${record.transport} 传输`, { kind: 'protocol' });
+  }
+  const controller = new AbortController();
+  const timer = setTimeout(() => controller.abort(new Error('timeout')), timeoutMs);
+  let sessionId = '';
+  let protocolVersion = MCP_PROTOCOL_VERSION;
+  try {
+    const initialized = await post(record, {
+      jsonrpc: '2.0',
+      id: 1,
+      method: 'initialize',
+      params: {
+        protocolVersion: MCP_PROTOCOL_VERSION,
+        capabilities: {},
+        clientInfo: { name: 'dsh-mcp-connector', version: '1.0' },
+      },
+    }, { grants, signal: controller.signal, fetchImpl });
+    if (!initialized.response.ok) throw responseError(initialized.response, initialized.payload, initialized.text);
+    const initPayloadError = payloadError(initialized.payload);
+    if (initPayloadError) throw initPayloadError;
+    if (!initialized.payload?.result || typeof initialized.payload.result !== 'object') {
+      throw new McpHttpError('MCP Server 未返回有效的 initialize 结果');
+    }
+    protocolVersion = initialized.payload.result.protocolVersion || MCP_PROTOCOL_VERSION;
+    sessionId = initialized.response.headers.get('mcp-session-id') ?? '';
+
+    const notification = await post(record, {
+      jsonrpc: '2.0',
+      method: 'notifications/initialized',
+      params: {},
+    }, { grants, sessionId, protocolVersion, signal: controller.signal, fetchImpl });
+    if (notification.response.status === 401 || notification.response.status === 403) {
+      throw responseError(notification.response, notification.payload, notification.text);
+    }
+
+    const listed = await post(record, {
+      jsonrpc: '2.0',
+      id: 2,
+      method: 'tools/list',
+      params: {},
+    }, { grants, sessionId, protocolVersion, signal: controller.signal, fetchImpl });
+    if (!listed.response.ok) throw responseError(listed.response, listed.payload, listed.text);
+    const listPayloadError = payloadError(listed.payload);
+    if (listPayloadError) throw listPayloadError;
+    const tools = listed.payload?.result?.tools;
+    if (!Array.isArray(tools)) throw new McpHttpError('MCP tools/list 未返回工具数组');
+    return { tools, protocolVersion, sessionful: Boolean(sessionId) };
+  } finally {
+    clearTimeout(timer);
+    await closeSession(record, { grants, sessionId, protocolVersion, fetchImpl });
+  }
+}

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "dsh-mcp-connector",
-  "version": "0.2.7",
+  "version": "0.2.8",
   "description": "General-purpose MCP connector, connection manager, plugin extension, and integration marketplace for DeepSeek Harness, initiated and maintained by Qichacha/QCC.",
   "type": "module",
   "main": "lib/index.js",
@@ -31,7 +31,7 @@
   ],
   "scripts": {
     "test": "node --test",
-    "lint": "node --check lib/index.js && node --check lib/web.js && node --check lib/client.js && node --check lib/schema.js && node --check lib/catalog.js && node --check lib/prompts.js && node --check lib/probe.js && node --check lib/mcp-validation.js && node --check lib/migration.js && node --check lib/stores.js && node --check lib/oauth.js && node --check lib/callback-server.js && node --check lib/mcp-provision.js && node --check lib/util.js && node --check lib/constants.js && node --check lib/tools.js && node --check lib/connectors/oauth-connector.js && node --check lib/connectors/manual-connector.js && node --check lib/connectors/json-connector.js && node --check scripts/probe-connector.mjs && node --check scripts/build-registry.mjs && node --check scripts/ui-harness.mjs && node --check scripts/check-market-registration.mjs",
+    "lint": "node --check lib/index.js && node --check lib/web.js && node --check lib/client.js && node --check lib/schema.js && node --check lib/catalog.js && node --check lib/prompts.js && node --check lib/probe.js && node --check lib/mcp-validation.js && node --check lib/mcp-http.js && node --check lib/migration.js && node --check lib/stores.js && node --check lib/oauth.js && node --check lib/callback-server.js && node --check lib/mcp-provision.js && node --check lib/util.js && node --check lib/constants.js && node --check lib/tools.js && node --check lib/connectors/oauth-connector.js && node --check lib/connectors/manual-connector.js && node --check lib/connectors/json-connector.js && node --check scripts/probe-connector.mjs && node --check scripts/build-registry.mjs && node --check scripts/ui-harness.mjs && node --check scripts/check-market-registration.mjs",
     "registry:build": "node scripts/build-registry.mjs",
     "registry:validate": "node scripts/probe-connector.mjs catalog/catalog.json --validate-only",
     "dev:ui": "node scripts/ui-harness.mjs",