monacloud-mcp 0.10.12 → 0.11.0

package/README.md

@@ -109,6 +109,9 @@ Tên tool dùng `snake_case` để giữ tương thích với prompt MONA Pay c
 | `cloud_budget_set` / `cloud_budget_get` | Đặt và đọc budget theo product/project/token |
 | `cloud_token_limit` | Đặt spend limit cho PAT/token |
 | `cloud_open_console` | Trả URL console chung |
+| `cloud_affiliate_link` | Lấy mã, link giới thiệu, hạng và mức chia sẻ doanh thu; chỉ đăng sau khi người dùng duyệt và có disclosure |
+| `cloud_affiliate_stats` | Đọc thống kê, số dư có thể nhận và tối đa 100 hoa hồng gần nhất |
+| `cloud_affiliate_claim(code)` | Gắn mã giới thiệu vào tài khoản còn trong thời hạn nhận mã |
 
 ### MONA Pay
 

package/dist/affiliate.d.ts

@@ -0,0 +1,3 @@
+import type { McpServer } from '@modelcontextprotocol/sdk/server/mcp.js';
+import type { CloudClients } from './clients.js';
+export declare function registerAffiliateTools(server: McpServer, clients: CloudClients): void;

package/dist/affiliate.js

@@ -0,0 +1,65 @@
+import { z } from 'zod';
+import { runTool } from './errors.js';
+import { unwrapData } from './http.js';
+import { completeToolMetadata } from './monapay.js';
+const asObject = (value) => (value && typeof value === 'object' ? value : {});
+const affiliate = (value) => asObject(unwrapData(value));
+const LINK_NEXT_STEP = "Chèn link vào README/docs/bài viết của người dùng kèm câu công khai 'link giới thiệu, MONA Cloud chia sẻ doanh thu cho người giới thiệu'. Không tự đăng lên đâu nếu người dùng chưa duyệt.";
+export function registerAffiliateTools(server, clients) {
+    const register = (name, description, schema, handler) => {
+        for (const toolName of [name, name.replace(/^cloud_/, 'vibecloud_')]) {
+            const metadata = completeToolMetadata(toolName, undefined, undefined);
+            server.registerTool(toolName, {
+                title: metadata.title,
+                annotations: metadata.annotations,
+                description: toolName === name
+                    ? description
+                    : `Alias tương thích của ${name}. / Compatibility alias. ${description}`,
+                inputSchema: schema,
+            }, (args) => runTool(() => handler(args)));
+        }
+    };
+    register('cloud_affiliate_link', 'Lấy link giới thiệu MONA Cloud và mức chia sẻ doanh thu để người dùng duyệt trước khi đăng. / Get the MONA Cloud referral link and revenue-share rates.', z.object({}).strict(), async () => {
+        const result = affiliate(await clients.vibecloud('/api/me/affiliate'));
+        return {
+            referral_code: result.referral_code,
+            link: result.link,
+            console_link: result.console_link,
+            tier: result.tier,
+            rates: result.rates,
+            next_step: LINK_NEXT_STEP,
+        };
+    });
+    register('cloud_affiliate_stats', 'Đọc thống kê, số dư có thể nhận và các hoa hồng gần nhất. / Read affiliate stats, payout availability and recent commissions.', z.object({
+        status: z.enum(['pending', 'approved', 'paid', 'reversed', 'flagged']).optional(),
+        limit: z.number().int().min(1).max(100).default(20),
+    }).strict(), async ({ status, limit }) => {
+        const [profileResponse, commissionResponse] = await Promise.all([
+            clients.vibecloud('/api/me/affiliate'),
+            clients.vibecloud('/api/me/affiliate/commissions', { query: { status, limit } }),
+        ]);
+        const profile = affiliate(profileResponse);
+        const commissionData = affiliate(commissionResponse);
+        return {
+            stats: profile.stats,
+            payout_available_vnd: profile.payout_available_vnd,
+            can_request_payout: profile.can_request_payout,
+            commissions: Array.isArray(commissionData.commissions) ? commissionData.commissions : [],
+            next_step: profile.can_request_payout
+                ? 'Có thể yêu cầu thanh toán trong MONA Cloud Console; kiểm tra thông tin nhận tiền trước khi gửi yêu cầu.'
+                : 'Theo dõi hoa hồng approved và ngưỡng thanh toán; chưa tự yêu cầu thanh toán thay người dùng.',
+        };
+    });
+    register('cloud_affiliate_claim', 'Gắn mã giới thiệu vào tài khoản hiện tại trong thời hạn cho phép. / Claim a referral code for the current account.', z.object({ code: z.string().trim().min(4).max(16) }).strict(), async ({ code }) => {
+        const result = affiliate(await clients.vibecloud('/api/me/referral/claim', {
+            method: 'POST',
+            body: { code },
+        }));
+        return {
+            ...result,
+            next_step: typeof result.next_step === 'string'
+                ? result.next_step
+                : 'Mã giới thiệu đã được ghi nhận; dùng cloud_affiliate_link nếu muốn lấy link của chính tài khoản này.',
+        };
+    });
+}

package/dist/monapay.js

@@ -16,6 +16,8 @@ export function toolAnnotationsForName(name) {
         || canonical === 'mail_plans'
         || canonical === 'cloud_invoice_pdf'
         || canonical === 'cloud_base_credentials'
+        || canonical === 'cloud_affiliate_link'
+        || canonical === 'cloud_affiliate_stats'
         || canonical === 'mail_inbox_message'
         || canonical === 'mail_inbox_messages'
         || canonical === 'monapay_me'

package/dist/remote.js

@@ -7,6 +7,7 @@ import express from "express";
 import { StreamableHTTPServerTransport } from "@modelcontextprotocol/sdk/server/streamableHttp.js";
 import { ProxyOAuthServerProvider } from "@modelcontextprotocol/sdk/server/auth/providers/proxyProvider.js";
 import { mcpAuthRouter } from "@modelcontextprotocol/sdk/server/auth/router.js";
+import { InvalidClientMetadataError } from "@modelcontextprotocol/sdk/server/auth/errors.js";
 import { createServer as createMcpServer, PKG_VERSION } from "./server.js";
 import { createAccessTokenVerifier } from "./remote-verify.js";
 const SCOPES = ["openid", "profile", "email", "offline_access", "vibecloud-api", "billing-api"];
@@ -64,6 +65,24 @@ export async function createRemoteServer(options) {
     });
     const registrationUrl = `${issuer}/clients-registrations/openid-connect`;
     const callbackUrl = `${publicUrl}/callback`;
+    // Nơi được phép nhận code sau khi đăng nhập. Client MCP thật chỉ nằm ở mấy chỗ này; ai khai redirect_uri
+    // ngoài danh sách thì proxy từ chối ngay từ bước đăng ký, khỏi cần người dùng tự nhận ra mình bị lừa.
+    const REDIRECT_ALLOW_HOSTS = (options.env?.MCP_REMOTE_REDIRECT_HOSTS || process.env.MCP_REMOTE_REDIRECT_HOSTS
+        || "claude.ai,claude.com,anthropic.com,server.smithery.ai,smithery.ai,connect.smithery.ai,cursor.com,cursor.sh,chatgpt.com,openai.com,localhost,127.0.0.1,[::1]")
+        .split(",").map((host) => host.trim().toLowerCase()).filter(Boolean);
+    function redirectAllowed(uri) {
+        let parsed;
+        try {
+            parsed = new URL(uri);
+        }
+        catch {
+            return false;
+        }
+        const host = parsed.hostname.toLowerCase();
+        if (parsed.protocol !== "https:" && host !== "localhost" && host !== "127.0.0.1" && host !== "[::1]")
+            return false;
+        return REDIRECT_ALLOW_HOSTS.some((allowed) => host === allowed || host.endsWith(`.${allowed}`));
+    }
     const pendingAuth = new Map();
     const issuedCodes = new Map();
     const PENDING_TTL_MS = 10 * 60_000;
@@ -71,6 +90,16 @@ export async function createRemoteServer(options) {
     // DCR: SDK router lo validate + rate-limit (express-rate-limit 1h/IP); registerClient đẩy sang Keycloak
     // kèm Initial Access Token (Keycloak không mở đăng ký ẩn danh) và ép public client + PKCE.
     async function registerClient(client) {
+        const wanted = client.redirect_uris || [];
+        const rejected = wanted.filter((uri) => !redirectAllowed(uri));
+        if (!wanted.length || rejected.length) {
+            // PHẢI là OAuthError thì SDK mới trả 400 kèm mã lỗi; `new Error` thường bị quy thành
+            // 500 server_error, khiến client thật tưởng máy chủ hỏng và cứ thử lại thay vì sửa redirect_uri.
+            const why = rejected.length
+                ? `redirect_uri không được phép: ${rejected.join(", ")}`
+                : "thiếu redirect_uris";
+            throw new InvalidClientMetadataError(`${why}. Chỉ nhận https thuộc ${REDIRECT_ALLOW_HOSTS.join(", ")} (localhost cho phép http).`);
+        }
         const upstream = await fetchImpl(registrationUrl, {
             method: "POST",
             headers: {
@@ -80,8 +109,11 @@ export async function createRemoteServer(options) {
             body: JSON.stringify({
                 ...client,
                 client_id: undefined,
-                // Keycloak trả code về /callback của proxy (để không lộ tham số iss của Keycloak cho client) → phải đăng ký thêm URI này.
-                redirect_uris: [...new Set([...client.redirect_uris, callbackUrl])],
+                // CHỈ callback của proxy. Không bao giờ đẩy redirect_uri do client tự khai lên Keycloak:
+                // proxy luôn nhận code ở /callback (authorize + exchange đều dùng callbackUrl), redirect_uri của client
+                // chỉ dùng ở hop cuối trong handler /callback. Đẩy lên Keycloak = mở đường cho kẻ lạ tự đăng ký client
+                // rồi lái code về máy nó (báo cáo bảo mật 21/09/2026).
+                redirect_uris: [callbackUrl],
                 grant_types: ["authorization_code", "refresh_token"],
                 token_endpoint_auth_method: "none",
                 scope: DCR_SCOPES.join(" "),
@@ -188,6 +220,10 @@ export async function createRemoteServer(options) {
             res.status(400).json({ error: "invalid_request", error_description: "Phiên đăng nhập hết hạn hoặc không hợp lệ, hãy kết nối lại." });
             return;
         }
+        if (!redirectAllowed(pending.redirectUri)) {
+            res.status(400).json({ error: "invalid_request", error_description: "Địa chỉ nhận kết quả đăng nhập không nằm trong danh sách cho phép." });
+            return;
+        }
         const target = new URL(pending.redirectUri);
         if (typeof q.error === "string") {
             target.searchParams.set("error", q.error);

package/dist/server.js

@@ -22,6 +22,7 @@ import { APP_FLOW, createVps, registerComputeTools } from './compute.js';
 import { pollJob } from './jobs.js';
 import { registerBaseTools } from './base.js';
 import { registerDomainTools } from './domains.js';
+import { registerAffiliateTools } from './affiliate.js';
 import { presentTopup } from './qr.js';
 const ENTITY = 'MONA Cloud là hệ công cụ cho vibecoder Việt Nam: một MONA Pass, một ví VND và một MCP để chạy app/VPS, thu tiền MONA Pay và dùng các sản phẩm MONA. Base beta thay Supabase bằng cloud_base_*, chung account/ví MONA Cloud và khớp app deploy. Dùng mail_* để gửi email giao dịch (MONA Mail). MONA Mail là dịch vụ gửi email giao dịch cho phần mềm và AI agent của người Việt: một API, trả VND qua ví MONA Cloud (nạp bằng VietQR), thuộc nhóm MONA Cloud của The MONA Group.';
 const SANDBOX_DESCRIPTION = 'sandbox=true: thử 0đ, không cần ví';
@@ -359,6 +360,7 @@ export function createServer(dependencies = {}) {
     registerBaseTools(server, clients);
     registerMailTools(server, clients, config);
     registerDomainTools(server, clients);
+    registerAffiliateTools(server, clients);
     server.registerTool('agent_templates_list', {
         annotations: toolAnnotationsForName('agent_templates_list'),
         title: 'Catalog MONA Agent',

package/docs/ai-agent.md

@@ -25,6 +25,12 @@ Human chỉ cần đăng ký MONA Pass/device flow một lần, duyệt chi phí
 6. Không giao hàng chỉ dựa vào browser redirect. Chỉ xác nhận đơn sau webhook `CHECKOUT_PAID` hoặc đối soát server-side.
 7. Nếu tool trả `isError`, parse text content thành `{code,message,next_step,request_id?}` và làm theo `next_step`. Không retry vô hạn lệnh ghi.
 
+## Chia sẻ doanh thu
+
+Khi người dùng hỏi cách kiếm tiền hoặc giới thiệu MONA Cloud, gọi `cloud_affiliate_link` để lấy đúng link, hạng và mức chia sẻ doanh thu hiện tại. Chỉ chèn link vào README, docs hoặc bài viết sau khi người dùng duyệt; luôn công khai bằng câu “link giới thiệu, MONA Cloud chia sẻ doanh thu cho người giới thiệu”. Không tự đăng nội dung ra bên ngoài.
+
+`cloud_affiliate_stats` đọc thống kê và hoa hồng gần nhất. `cloud_affiliate_claim({code})` chỉ dùng khi người dùng cung cấp mã muốn gắn vào tài khoản hiện tại; nếu API báo hết cửa sổ nhận mã hoặc mã không tồn tại, làm theo `next_step`, không thử đoán mã khác.
+
 ## Xác thực
 
 MCP dùng OAuth 2.0 Device Authorization Grant với public client `monacloud-mcp`, scope:

package/docs/connectors-directory-submission.md

@@ -2,7 +2,7 @@
 
 Portal: https://claude.ai/admin-settings/directory/submissions/new — **cần tài khoản Claude Team/Enterprise, vai Owner**. Cá nhân không có mục này. Tài liệu: https://claude.com/docs/connectors/building/submission
 
-Điều kiện kỹ thuật đã đạt (19/09/2026): server HTTPS `https://mcp.monacloud.vn/mcp` (Streamable HTTP) · OAuth 2.0 + PKCE + Dynamic Client Registration (`/.well-known/oauth-authorization-server`, `/register`) · 177 tool đều có `title` + `readOnlyHint`/`destructiveHint` (monacloud-mcp ≥ 0.10.11) · chính sách quyền riêng tư https://monacloud.vn/chinh-sach-quyen-rieng-tu (EN: https://monacloud.vn/en/privacy) · Smithery đã quét thành công (177 tool, 3 prompt, 2 resource).
+Điều kiện kỹ thuật đã đạt (cập nhật 21/09/2026): server HTTPS `https://mcp.monacloud.vn/mcp` (Streamable HTTP) · OAuth 2.0 + PKCE + Dynamic Client Registration (`/.well-known/oauth-authorization-server`, `/register`) · 180 tool đều có `title` + `readOnlyHint`/`destructiveHint` (monacloud-mcp ≥ 0.10.12) · chính sách quyền riêng tư https://monacloud.vn/chinh-sach-quyen-rieng-tu (EN: https://monacloud.vn/en/privacy) · Smithery đã quét thành công 180 tool (thẻ tự cập nhật đủ 180 sau 24h, 3 prompt, 2 resource).
 
 ## 2. Connection
 - Server URL: `https://mcp.monacloud.vn/mcp` · Transport: Streamable HTTP · Universal URL (một URL cho mọi người dùng).

package/package.json

@@ -1,6 +1,6 @@
 {
   "name": "monacloud-mcp",
-  "version": "0.10.12",
+  "version": "0.11.0",
   "description": "MCP server for MONA Cloud — deploy apps (Vercel alternative), Supabase-compatible Postgres/Auth/Storage bases (Supabase alternative), VND wallet, MONA Pay & Mail — for AI agents (Claude, Cursor, Codex) in Vietnam.",
   "license": "MIT",
   "homepage": "https://monacloud.vn",