flow-codeblock-rust-mcp 0.1.2 → 0.1.3

package/README.md

@@ -7,7 +7,7 @@ Flow Codeblock Rust+Bun 的本地 stdio MCP Server。它只调用服务端 Rust
 需要 Bun 1.4.0 或更高版本：
 
 ```bash
-bunx --bun flow-codeblock-rust-mcp@0.1.2
+bunx --bun flow-codeblock-rust-mcp@0.1.3
 ```
 
 配置环境变量：
@@ -26,7 +26,7 @@ export FLOW_CODEBLOCK_TOKEN='<YOUR_INTERNAL_ACCESS_TOKEN>'
   "mcpServers": {
     "flow-codeblock-rust": {
       "command": "bunx",
-      "args": ["--bun", "flow-codeblock-rust-mcp@0.1.2"],
+      "args": ["--bun", "flow-codeblock-rust-mcp@0.1.3"],
       "env": {
         "FLOW_CODEBLOCK_BASE_URL": "https://flow.example.com",
         "FLOW_CODEBLOCK_TOKEN": "<YOUR_INTERNAL_ACCESS_TOKEN>"
@@ -38,6 +38,8 @@ export FLOW_CODEBLOCK_TOKEN='<YOUR_INTERNAL_ACCESS_TOKEN>'
 
 ## 工具边界
 
+代码契约使用当前 Rust+Bun 模块白名单：`crypto-js` 已移除，加密应使用 `node:crypto`。Excel 仅允许 `read-excel-file/node`、`read-excel-file/universal`、`write-excel-file/node`、`write-excel-file/universal` 和 `write-excel-file/utility` 入口；这些模块由服务端共享重型执行池承载。
+
 工具覆盖代码生成、未发布代码测试、脚本列表、版本读取、接口文档校验/预览/保存、脚本创建/更新、锁定/解锁和已发布脚本执行。创建或代码更新可提交完整接口文档或 RFC 6902 `interface_doc_patch`；预览会调用 `/flow/scripts/validate`，应用时会再次透传补丁并使用事务级 `expected_version` 检测并发冲突。所有脚本写操作需要预览后显式 `confirm: true`。
 
 最终用户交付按模式区分：`non_script` 输出完整 JavaScript、接口调用说明、请求参数及示例、执行逻辑、成功/错误输出示例和完整 `execution_url`；`script` 默认不主动回显 JavaScript 或原始 `interface_doc`，只输出接口调用说明、请求参数及示例、执行逻辑、成功/错误输出示例和发布后的完整 `script_url`。脚本代码与 `interface_doc` 仍由 MCP 内部用于预览、校验和发布，除非用户明确索要源码或原始文档。

package/dist/index.js

@@ -28146,14 +28146,16 @@ Rules:
 var allowedModules = [
   "axios",
   "cheerio",
-  "crypto-js",
   "csv-parser",
   "fast-xml-parser",
   "form-data",
   "lodash",
+  "pinyin-pro",
   "qs",
+  "read-excel-file",
   "sm-crypto-v2",
   "uuid",
+  "write-excel-file",
   "xlsx",
   "dayjs"
 ];
@@ -28273,7 +28275,7 @@ function codeWriterContext(mode, requirement, inputExample, includeFullSchema, b
     code_rules: [
       "所有业务数据只从全局 input 读取，不从环境变量、持久化全局变量或其他外部状态读取；返回值必须可 JSON 序列化。",
       "默认使用顶层 return；只有事件式/异步流程或用户明确要求时才使用 qf_output，且必须是裸的 qf_output = { ... } 对象字面量赋值，不能与顶层 return 混用，也不能遮蔽该标识符。",
-      "优先标准 JavaScript 和服务端原生 fetch；只有原生能力确实无法满足且用户明确要求时，才使用白名单 CommonJS 字面量 require。",
+      "优先标准 JavaScript、服务端原生 fetch 和 node:crypto；只有原生能力确实无法满足且用户明确要求时，才使用白名单 CommonJS 字面量 require。crypto-js 已移除，不得生成该模块调用。",
       "禁止 import/export、动态 require、浏览器 API、定时器、阻止标识符、阻止成员和黑名单 Node 模块，不得写入真实凭据。",
       "业务逻辑和异步操作放在 try-catch 中；错误转换为字符串或普通对象后返回。",
       "不得创建无界循环、未 settle 的 Promise 或执行结束后仍运行的后台任务；所有请求必须 await 或 return。",
@@ -28286,7 +28288,7 @@ function codeWriterContext(mode, requirement, inputExample, includeFullSchema, b
     require_policy: {
       allowed_call_form: "仅允许单个字符串字面量 require('模块名')，不得间接调用、动态模块名或使用 import/export。",
       dayjs_exception: "日期处理优先原生 Date；复杂日期解析/格式化/时区才允许使用 dayjs。",
-      other_modules: "除 dayjs 外，只有原生能力确实无法实现且用户明确要求时才允许白名单模块。"
+      other_modules: "除 dayjs 外，只有原生能力确实无法实现且用户明确要求时才允许白名单模块；Excel 仅允许 read-excel-file/node、read-excel-file/universal、write-excel-file/node、write-excel-file/universal 和 write-excel-file/utility。"
     },
     forbidden: {
       identifiers: [
@@ -28510,7 +28512,7 @@ var serverInstructions = [
   "接口文档 endpoint.path 只写相对路径：创建时省略，更新时写 /flow/codeblock/<实际脚本ID>。对外展示的完整调用地址必须使用用户提供的域名拼接 /flow/codeblock/{{脚本ID}}；不要把真实 Token、密码、Cookie 或 Authorization 值写入代码、文档、示例或 URL。",
   "脚本模式输入来自 input.query、input.header、input.body、input.cookies；即时非脚本模式 POST /flow/codeblock 的 body.input 原样成为全局 input。代码默认使用顶层 return；只有事件式/异步流程或用户明确要求时才使用裸 qf_output 赋值，不能混用。",
   "最终用户交付按模式区分：non_script 输出完整 JavaScript、接口调用说明、请求参数及示例、执行逻辑、成功/错误输出示例和完整 execution_url；script 默认不主动回显 JavaScript 或原始 interface_doc，只输出接口调用说明、请求参数及示例、执行逻辑、成功/错误输出示例和发布后的完整 script_url，除非用户明确索要源码或原始文档。script 的代码与 interface_doc 仍必须内部提交给预览、校验和发布工具。",
-  "优先原生 JavaScript、URL/URLSearchParams 和 fetch；禁止浏览器 API、定时器、动态模块加载、黑名单 Node 模块和危险标识符。HTTP 请求必须检查状态并处理 JSON/文本/空响应，所有异步任务必须显式 await 或 return。",
+  "优先原生 JavaScript、URL/URLSearchParams、fetch 和 node:crypto；crypto-js 已移除，禁止生成该模块调用。禁止浏览器 API、定时器、动态模块加载、黑名单 Node 模块和危险标识符。Excel 仅允许 read-excel-file/node、read-excel-file/universal、write-excel-file/node、write-excel-file/universal 和 write-excel-file/utility。HTTP 请求必须检查状态并处理 JSON/文本/空响应，所有异步任务必须显式 await 或 return。",
   "执行脚本时 method 只能是 GET 或 POST；MCP 认证、Cookie、CSRF、代理来源头和测试工具标识会被过滤。不要使用删除脚本、紧急恢复解锁或任意 HTTP 代理能力，本 MCP 不提供这些工具。"
 ].join(`
 `);
@@ -28745,7 +28747,7 @@ function assertPreview(record3, operation) {
   return record3;
 }
 function createMcpServer({ api: api2, previews = new PreviewStore }) {
-  const server = new McpServer({ name: "flow-codeblock-rust", version: "0.1.2" }, { instructions: serverInstructions });
+  const server = new McpServer({ name: "flow-codeblock-rust", version: "0.1.3" }, { instructions: serverInstructions });
   server.registerTool("flow_write_code", {
     description: "生成代码实现契约，不写数据库、不发布脚本、不执行代码。mode=non_script 生成即时 POST /flow/codeblock 代码，最终交付包含完整 execution_url；mode=script 生成 GET/POST /flow/codeblock/{{script_id}} 代码，内部生成完整 script-interface-doc.v1 供预览、校验和发布，最终交付默认只展示接口调用说明、请求参数及示例、执行逻辑、成功/错误输出示例和 script_url，除非用户明确索要源码或原始 interface_doc。脚本文档的 title、summary、endpoint.methods、endpoint.description、request、responses、logic_description 必须齐全；query/header 参数必须有 name/type/description/example，body 和 response 字段必须有 content_type/schema/example。需要展示用户指定的完整地址时可传入 base_url。",
     inputSchema: {

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "flow-codeblock-rust-mcp",
-  "version": "0.1.2",
+  "version": "0.1.3",
   "description": "Flow Codeblock Rust+Bun stdio MCP Server for script management and execution.",
   "license": "MIT",
   "repository": {