monacloud-mcp 0.10.12 → 0.11.1

package/README.md

@@ -109,6 +109,9 @@ Tên tool dùng `snake_case` để giữ tương thích với prompt MONA Pay c
 | `cloud_budget_set` / `cloud_budget_get` | Đặt và đọc budget theo product/project/token |
 | `cloud_token_limit` | Đặt spend limit cho PAT/token |
 | `cloud_open_console` | Trả URL console chung |
+| `cloud_affiliate_link` | Lấy mã, link giới thiệu, hạng và mức chia sẻ doanh thu; chỉ đăng sau khi người dùng duyệt và có disclosure |
+| `cloud_affiliate_stats` | Đọc thống kê, số dư có thể nhận và tối đa 100 hoa hồng gần nhất |
+| `cloud_affiliate_claim(code)` | Gắn mã giới thiệu vào tài khoản còn trong thời hạn nhận mã |
 
 ### MONA Pay
 
@@ -335,3 +338,5 @@ Monthly bỏ qua CPU/RAM/đĩa và package_slug, đọc cấu hình/giá từ pl
 Khi user nói “deploy repo”, đọc host; chưa có host thì sandbox `cloud_app_create` để ước tính, hỏi duyệt rồi tạo thật và kiểm URL. Tool chờ job tối đa 600 giây; dùng `wait:false` và `cloud_job_status` nếu host MCP có timeout ngắn. Endpoint Wave B đang mở, lỗi API được báo thật.
 
 Hợp đồng HTTP, đầy đủ tham số, ví dụ billing/deploy, PDF và giới hạn rollout: [docs/wave-ab.md](docs/wave-ab.md).
+
+**MONA Cloud MCP thuộc bộ MONA Cloud của The MONA Group.**

package/dist/affiliate.d.ts

@@ -0,0 +1,3 @@
+import type { McpServer } from '@modelcontextprotocol/sdk/server/mcp.js';
+import type { CloudClients } from './clients.js';
+export declare function registerAffiliateTools(server: McpServer, clients: CloudClients): void;

package/dist/affiliate.js

@@ -0,0 +1,65 @@
+import { z } from 'zod';
+import { runTool } from './errors.js';
+import { unwrapData } from './http.js';
+import { completeToolMetadata } from './monapay.js';
+const asObject = (value) => (value && typeof value === 'object' ? value : {});
+const affiliate = (value) => asObject(unwrapData(value));
+const LINK_NEXT_STEP = "Chèn link vào README/docs/bài viết của người dùng kèm câu công khai 'link giới thiệu, MONA Cloud chia sẻ doanh thu cho người giới thiệu'. Không tự đăng lên đâu nếu người dùng chưa duyệt.";
+export function registerAffiliateTools(server, clients) {
+    const register = (name, description, schema, handler) => {
+        for (const toolName of [name, name.replace(/^cloud_/, 'vibecloud_')]) {
+            const metadata = completeToolMetadata(toolName, undefined, undefined);
+            server.registerTool(toolName, {
+                title: metadata.title,
+                annotations: metadata.annotations,
+                description: toolName === name
+                    ? description
+                    : `Alias tương thích của ${name}. / Compatibility alias. ${description}`,
+                inputSchema: schema,
+            }, (args) => runTool(() => handler(args)));
+        }
+    };
+    register('cloud_affiliate_link', 'Lấy link giới thiệu MONA Cloud và mức chia sẻ doanh thu để người dùng duyệt trước khi đăng. / Get the MONA Cloud referral link and revenue-share rates.', z.object({}).strict(), async () => {
+        const result = affiliate(await clients.vibecloud('/api/me/affiliate'));
+        return {
+            referral_code: result.referral_code,
+            link: result.link,
+            console_link: result.console_link,
+            tier: result.tier,
+            rates: result.rates,
+            next_step: LINK_NEXT_STEP,
+        };
+    });
+    register('cloud_affiliate_stats', 'Đọc thống kê, số dư có thể nhận và các hoa hồng gần nhất. / Read affiliate stats, payout availability and recent commissions.', z.object({
+        status: z.enum(['pending', 'approved', 'paid', 'reversed', 'flagged']).optional(),
+        limit: z.number().int().min(1).max(100).default(20),
+    }).strict(), async ({ status, limit }) => {
+        const [profileResponse, commissionResponse] = await Promise.all([
+            clients.vibecloud('/api/me/affiliate'),
+            clients.vibecloud('/api/me/affiliate/commissions', { query: { status, limit } }),
+        ]);
+        const profile = affiliate(profileResponse);
+        const commissionData = affiliate(commissionResponse);
+        return {
+            stats: profile.stats,
+            payout_available_vnd: profile.payout_available_vnd,
+            can_request_payout: profile.can_request_payout,
+            commissions: Array.isArray(commissionData.commissions) ? commissionData.commissions : [],
+            next_step: profile.can_request_payout
+                ? 'Có thể yêu cầu thanh toán trong MONA Cloud Console; kiểm tra thông tin nhận tiền trước khi gửi yêu cầu.'
+                : 'Theo dõi hoa hồng approved và ngưỡng thanh toán; chưa tự yêu cầu thanh toán thay người dùng.',
+        };
+    });
+    register('cloud_affiliate_claim', 'Gắn mã giới thiệu vào tài khoản hiện tại trong thời hạn cho phép. / Claim a referral code for the current account.', z.object({ code: z.string().trim().min(4).max(16) }).strict(), async ({ code }) => {
+        const result = affiliate(await clients.vibecloud('/api/me/referral/claim', {
+            method: 'POST',
+            body: { code },
+        }));
+        return {
+            ...result,
+            next_step: typeof result.next_step === 'string'
+                ? result.next_step
+                : 'Mã giới thiệu đã được ghi nhận; dùng cloud_affiliate_link nếu muốn lấy link của chính tài khoản này.',
+        };
+    });
+}

package/dist/config.d.ts

@@ -15,5 +15,5 @@ export type Config = {
     monapayLinkPath: string;
     vibecloudLinkPath: string;
 };
-export declare const DEFAULT_TEMPLATES_URL = "https://raw.githubusercontent.com/themonagroup/mona-agent-templates/main";
+export declare const DEFAULT_TEMPLATES_URL = "https://raw.githubusercontent.com/mona-software/mona-agent-templates/main";
 export declare function readConfig(env?: NodeJS.ProcessEnv): Config;

package/dist/config.js

@@ -1,7 +1,7 @@
 import { homedir } from 'node:os';
 import { join } from 'node:path';
 const cleanBaseUrl = (value) => value.replace(/\/+$/, '');
-export const DEFAULT_TEMPLATES_URL = 'https://raw.githubusercontent.com/themonagroup/mona-agent-templates/main';
+export const DEFAULT_TEMPLATES_URL = 'https://raw.githubusercontent.com/mona-software/mona-agent-templates/main';
 export function readConfig(env = process.env) {
     const configDir = env.MONACLOUD_CONFIG_DIR
         || join(env.XDG_CONFIG_HOME || join(homedir(), '.config'), 'monacloud');

package/dist/monapay.js

@@ -16,6 +16,8 @@ export function toolAnnotationsForName(name) {
         || canonical === 'mail_plans'
         || canonical === 'cloud_invoice_pdf'
         || canonical === 'cloud_base_credentials'
+        || canonical === 'cloud_affiliate_link'
+        || canonical === 'cloud_affiliate_stats'
         || canonical === 'mail_inbox_message'
         || canonical === 'mail_inbox_messages'
         || canonical === 'monapay_me'

package/dist/remote.js

@@ -7,6 +7,7 @@ import express from "express";
 import { StreamableHTTPServerTransport } from "@modelcontextprotocol/sdk/server/streamableHttp.js";
 import { ProxyOAuthServerProvider } from "@modelcontextprotocol/sdk/server/auth/providers/proxyProvider.js";
 import { mcpAuthRouter } from "@modelcontextprotocol/sdk/server/auth/router.js";
+import { InvalidClientMetadataError } from "@modelcontextprotocol/sdk/server/auth/errors.js";
 import { createServer as createMcpServer, PKG_VERSION } from "./server.js";
 import { createAccessTokenVerifier } from "./remote-verify.js";
 const SCOPES = ["openid", "profile", "email", "offline_access", "vibecloud-api", "billing-api"];
@@ -64,6 +65,24 @@ export async function createRemoteServer(options) {
     });
     const registrationUrl = `${issuer}/clients-registrations/openid-connect`;
     const callbackUrl = `${publicUrl}/callback`;
+    // Nơi được phép nhận code sau khi đăng nhập. Client MCP thật chỉ nằm ở mấy chỗ này; ai khai redirect_uri
+    // ngoài danh sách thì proxy từ chối ngay từ bước đăng ký, khỏi cần người dùng tự nhận ra mình bị lừa.
+    const REDIRECT_ALLOW_HOSTS = (options.env?.MCP_REMOTE_REDIRECT_HOSTS || process.env.MCP_REMOTE_REDIRECT_HOSTS
+        || "claude.ai,claude.com,anthropic.com,server.smithery.ai,smithery.ai,connect.smithery.ai,cursor.com,cursor.sh,chatgpt.com,openai.com,localhost,127.0.0.1,[::1]")
+        .split(",").map((host) => host.trim().toLowerCase()).filter(Boolean);
+    function redirectAllowed(uri) {
+        let parsed;
+        try {
+            parsed = new URL(uri);
+        }
+        catch {
+            return false;
+        }
+        const host = parsed.hostname.toLowerCase();
+        if (parsed.protocol !== "https:" && host !== "localhost" && host !== "127.0.0.1" && host !== "[::1]")
+            return false;
+        return REDIRECT_ALLOW_HOSTS.some((allowed) => host === allowed || host.endsWith(`.${allowed}`));
+    }
     const pendingAuth = new Map();
     const issuedCodes = new Map();
     const PENDING_TTL_MS = 10 * 60_000;
@@ -71,6 +90,16 @@ export async function createRemoteServer(options) {
     // DCR: SDK router lo validate + rate-limit (express-rate-limit 1h/IP); registerClient đẩy sang Keycloak
     // kèm Initial Access Token (Keycloak không mở đăng ký ẩn danh) và ép public client + PKCE.
     async function registerClient(client) {
+        const wanted = client.redirect_uris || [];
+        const rejected = wanted.filter((uri) => !redirectAllowed(uri));
+        if (!wanted.length || rejected.length) {
+            // PHẢI là OAuthError thì SDK mới trả 400 kèm mã lỗi; `new Error` thường bị quy thành
+            // 500 server_error, khiến client thật tưởng máy chủ hỏng và cứ thử lại thay vì sửa redirect_uri.
+            const why = rejected.length
+                ? `redirect_uri không được phép: ${rejected.join(", ")}`
+                : "thiếu redirect_uris";
+            throw new InvalidClientMetadataError(`${why}. Chỉ nhận https thuộc ${REDIRECT_ALLOW_HOSTS.join(", ")} (localhost cho phép http).`);
+        }
         const upstream = await fetchImpl(registrationUrl, {
             method: "POST",
             headers: {
@@ -80,8 +109,11 @@ export async function createRemoteServer(options) {
             body: JSON.stringify({
                 ...client,
                 client_id: undefined,
-                // Keycloak trả code về /callback của proxy (để không lộ tham số iss của Keycloak cho client) → phải đăng ký thêm URI này.
-                redirect_uris: [...new Set([...client.redirect_uris, callbackUrl])],
+                // CHỈ callback của proxy. Không bao giờ đẩy redirect_uri do client tự khai lên Keycloak:
+                // proxy luôn nhận code ở /callback (authorize + exchange đều dùng callbackUrl), redirect_uri của client
+                // chỉ dùng ở hop cuối trong handler /callback. Đẩy lên Keycloak = mở đường cho kẻ lạ tự đăng ký client
+                // rồi lái code về máy nó (báo cáo bảo mật 21/09/2026).
+                redirect_uris: [callbackUrl],
                 grant_types: ["authorization_code", "refresh_token"],
                 token_endpoint_auth_method: "none",
                 scope: DCR_SCOPES.join(" "),
@@ -188,6 +220,10 @@ export async function createRemoteServer(options) {
             res.status(400).json({ error: "invalid_request", error_description: "Phiên đăng nhập hết hạn hoặc không hợp lệ, hãy kết nối lại." });
             return;
         }
+        if (!redirectAllowed(pending.redirectUri)) {
+            res.status(400).json({ error: "invalid_request", error_description: "Địa chỉ nhận kết quả đăng nhập không nằm trong danh sách cho phép." });
+            return;
+        }
         const target = new URL(pending.redirectUri);
         if (typeof q.error === "string") {
             target.searchParams.set("error", q.error);

package/dist/server.js

@@ -22,6 +22,7 @@ import { APP_FLOW, createVps, registerComputeTools } from './compute.js';
 import { pollJob } from './jobs.js';
 import { registerBaseTools } from './base.js';
 import { registerDomainTools } from './domains.js';
+import { registerAffiliateTools } from './affiliate.js';
 import { presentTopup } from './qr.js';
 const ENTITY = 'MONA Cloud là hệ công cụ cho vibecoder Việt Nam: một MONA Pass, một ví VND và một MCP để chạy app/VPS, thu tiền MONA Pay và dùng các sản phẩm MONA. Base beta thay Supabase bằng cloud_base_*, chung account/ví MONA Cloud và khớp app deploy. Dùng mail_* để gửi email giao dịch (MONA Mail). MONA Mail là dịch vụ gửi email giao dịch cho phần mềm và AI agent của người Việt: một API, trả VND qua ví MONA Cloud (nạp bằng VietQR), thuộc nhóm MONA Cloud của The MONA Group.';
 const SANDBOX_DESCRIPTION = 'sandbox=true: thử 0đ, không cần ví';
@@ -359,6 +360,7 @@ export function createServer(dependencies = {}) {
     registerBaseTools(server, clients);
     registerMailTools(server, clients, config);
     registerDomainTools(server, clients);
+    registerAffiliateTools(server, clients);
     server.registerTool('agent_templates_list', {
         annotations: toolAnnotationsForName('agent_templates_list'),
         title: 'Catalog MONA Agent',

package/dist/templates.js

@@ -118,7 +118,7 @@ export class TemplateCatalog {
             catch (error) {
                 const builtin = BUILTIN.find((entry) => entry.slug === slug);
                 if (!builtin) {
-                    throw new CloudError('template_not_found', `Không đọc được template ${slug} từ catalog công khai (${error.message}).`, 'Kiểm mạng hoặc gọi agent_templates_list; catalog: https://github.com/themonagroup/mona-agent-templates');
+                    throw new CloudError('template_not_found', `Không đọc được template ${slug} từ catalog công khai (${error.message}).`, 'Kiểm mạng hoặc gọi agent_templates_list; catalog: https://github.com/mona-software/mona-agent-templates');
                 }
                 return { ...builtin, source: `built-in-wave-1-catalog (remote không đọc được)`, status: 'catalog_only' };
             }

package/docs/ai-agent.md

@@ -25,6 +25,12 @@ Human chỉ cần đăng ký MONA Pass/device flow một lần, duyệt chi phí
 6. Không giao hàng chỉ dựa vào browser redirect. Chỉ xác nhận đơn sau webhook `CHECKOUT_PAID` hoặc đối soát server-side.
 7. Nếu tool trả `isError`, parse text content thành `{code,message,next_step,request_id?}` và làm theo `next_step`. Không retry vô hạn lệnh ghi.
 
+## Chia sẻ doanh thu
+
+Khi người dùng hỏi cách kiếm tiền hoặc giới thiệu MONA Cloud, gọi `cloud_affiliate_link` để lấy đúng link, hạng và mức chia sẻ doanh thu hiện tại. Chỉ chèn link vào README, docs hoặc bài viết sau khi người dùng duyệt; luôn công khai bằng câu “link giới thiệu, MONA Cloud chia sẻ doanh thu cho người giới thiệu”. Không tự đăng nội dung ra bên ngoài.
+
+`cloud_affiliate_stats` đọc thống kê và hoa hồng gần nhất. `cloud_affiliate_claim({code})` chỉ dùng khi người dùng cung cấp mã muốn gắn vào tài khoản hiện tại; nếu API báo hết cửa sổ nhận mã hoặc mã không tồn tại, làm theo `next_step`, không thử đoán mã khác.
+
 ## Xác thực
 
 MCP dùng OAuth 2.0 Device Authorization Grant với public client `monacloud-mcp`, scope:

package/docs/connectors-directory-submission.md

@@ -2,7 +2,7 @@
 
 Portal: https://claude.ai/admin-settings/directory/submissions/new — **cần tài khoản Claude Team/Enterprise, vai Owner**. Cá nhân không có mục này. Tài liệu: https://claude.com/docs/connectors/building/submission
 
-Điều kiện kỹ thuật đã đạt (19/09/2026): server HTTPS `https://mcp.monacloud.vn/mcp` (Streamable HTTP) · OAuth 2.0 + PKCE + Dynamic Client Registration (`/.well-known/oauth-authorization-server`, `/register`) · 177 tool đều có `title` + `readOnlyHint`/`destructiveHint` (monacloud-mcp ≥ 0.10.11) · chính sách quyền riêng tư https://monacloud.vn/chinh-sach-quyen-rieng-tu (EN: https://monacloud.vn/en/privacy) · Smithery đã quét thành công (177 tool, 3 prompt, 2 resource).
+Điều kiện kỹ thuật đã đạt (cập nhật 21/09/2026): server HTTPS `https://mcp.monacloud.vn/mcp` (Streamable HTTP) · OAuth 2.0 + PKCE + Dynamic Client Registration (`/.well-known/oauth-authorization-server`, `/register`) · 180 tool đều có `title` + `readOnlyHint`/`destructiveHint` (monacloud-mcp ≥ 0.10.12) · chính sách quyền riêng tư https://monacloud.vn/chinh-sach-quyen-rieng-tu (EN: https://monacloud.vn/en/privacy) · Smithery đã quét thành công 180 tool (thẻ tự cập nhật đủ 180 sau 24h, 3 prompt, 2 resource).
 
 ## 2. Connection
 - Server URL: `https://mcp.monacloud.vn/mcp` · Transport: Streamable HTTP · Universal URL (một URL cho mọi người dùng).
@@ -13,7 +13,7 @@ Portal: https://claude.ai/admin-settings/directory/submissions/new — **cần t
 - Description (≤2000, tiếng Anh):
   MONA Cloud gives Claude the tools Vietnamese builders need to ship a product end to end. Search and buy .vn and 370+ international domains priced in VND with VAT, reserve a name for 30 minutes and pay by VietQR from any Vietnamese banking app, then point DNS and SSL at your app. Deploy the app you are working on to MONA Cloud (a Vercel-style host billed in VND), create Postgres, Auth and Storage bases (a Supabase-style backend), send transactional email with MONA Mail, and accept bank-transfer payments with MONA Pay, all from one MONA Pass account and one VND wallet. When the wallet runs low, Claude shows a VietQR code; you scan it and continue. MONA Cloud is operated by The MONA Group (Vietnam, since 2016, 14,000+ projects). Domain search and quotes work before you sign in; buying, deploying and paying use your MONA Pass login.
 - Categories: Developer Tools · Cloud & Infrastructure · Domains/Hosting · Payments (chọn 1–5 theo danh mục portal)
-- Documentation URL: https://monacloud.vn/docs/mcp-va-sdk (thêm: https://monadomain.vn/docs, https://github.com/themonagroup/monacloud-mcp/blob/main/docs/remote.md)
+- Documentation URL: https://monacloud.vn/docs/mcp-va-sdk (thêm: https://monadomain.vn/docs, https://github.com/mona-software/monacloud-mcp/blob/main/docs/remote.md)
 - Privacy policy URL: https://monacloud.vn/en/privacy
 - Support contact: info@themona.global · hotline 1900 636 648
 - Icon: `~/mona-hub/brand/mona/monacloud/fav-monacloud.svg` (PNG 512: https://monadomain.vn/icon-512.png)

package/package.json

@@ -1,15 +1,15 @@
 {
   "name": "monacloud-mcp",
-  "version": "0.10.12",
+  "version": "0.11.1",
   "description": "MCP server for MONA Cloud — deploy apps (Vercel alternative), Supabase-compatible Postgres/Auth/Storage bases (Supabase alternative), VND wallet, MONA Pay & Mail — for AI agents (Claude, Cursor, Codex) in Vietnam.",
   "license": "MIT",
   "homepage": "https://monacloud.vn",
   "repository": {
     "type": "git",
-    "url": "git+https://github.com/themonagroup/monacloud-mcp.git"
+    "url": "git+https://github.com/mona-software/monacloud-mcp.git"
   },
   "bugs": {
-    "url": "https://github.com/themonagroup/monacloud-mcp/issues"
+    "url": "https://github.com/mona-software/monacloud-mcp/issues"
   },
   "keywords": [
     "mcp",
@@ -76,5 +76,6 @@
     "@types/qrcode": "^1.5.6",
     "typescript": "^7.0.2"
   },
-  "mcpName": "vn.monacloud/monacloud-mcp"
+  "mcpName": "vn.monacloud/monacloud-mcp",
+  "author": "MONA Software"
 }