fix(extension): 完善 MCP 参数与运行安全边界
This commit is contained in:
@@ -67,8 +67,8 @@ contributes:
|
||||
backend:
|
||||
type: mcp
|
||||
transport: stdio
|
||||
command: python
|
||||
args: [server.py]
|
||||
command: uvx
|
||||
args: [--isolated, --from, example-mcp==1.2.3, example-mcp]
|
||||
startup_timeout_seconds: 5
|
||||
tool_timeout_seconds: 30
|
||||
```
|
||||
@@ -77,7 +77,9 @@ backend:
|
||||
|
||||
- 阶段 C 只接受 `type: mcp` 与 `transport: stdio`；
|
||||
- 命令和参数通过数组直接传给 `subprocess.Popen`，不经过 Shell；
|
||||
- PATH 中的 executable 使用名称，例如 `python`、`node`；
|
||||
- Python 包形式的 MCP Server 推荐使用 `uvx --isolated --from <package>==<version> <command>`，固定版本并与 NotesAgent 项目环境隔离；
|
||||
- Plugin 包内自带且不需要第三方依赖的 Python 脚本可以使用 `python server.py`；Node、Rust 等 Server 继续使用各自受控启动器，因此 Host 不强制所有 MCP 都经过 `uvx`；
|
||||
- PATH 中的 executable 使用名称，例如 `uvx`、`python`、`node`；
|
||||
- manifest 中带目录的 executable 必须解析到 Plugin 包内部；
|
||||
- `contributes.tools` 使用 `<plugin_id>.<remote_name>`；
|
||||
- 安装阶段只读 Manifest，不启动第三方进程；
|
||||
@@ -158,6 +160,8 @@ MCP Tool：
|
||||
|
||||
当前隔离是“独立进程 + 协议边界”，不是完整的操作系统沙箱。
|
||||
|
||||
`uvx` 解决的是 Python 工具依赖隔离：它等价于 `uv tool run`，在 uv 缓存中使用可丢弃的独立虚拟环境。它不会限制 Server 读取用户文件、访问网络、创建子进程或调用系统 API，因此不能代替安全沙箱。首次解析尚未缓存的包还可能访问包索引；生产清单必须固定来源和版本，安装/更新阶段与运行阶段分离。
|
||||
|
||||
已经执行的保护：
|
||||
|
||||
- 第三方模块不 import 到 AI Core；
|
||||
@@ -171,7 +175,15 @@ MCP Tool：
|
||||
- MCP Tool 不绕过 Permission Manager 和 Agent Tool Timeout。
|
||||
- 调用被 Agent 取消时，同时通知 Server 并唤醒本地 pending Queue，阻塞线程不会继续占用线程池直至远端超时。
|
||||
|
||||
当前尚未提供容器、受限系统账户、seccomp、Windows AppContainer 或 macOS Sandbox，因此 Plugin 进程仍具有当前操作系统用户授予的一般文件访问能力。正式社区插件分发前必须继续增加包签名、来源验证和平台级沙箱；不得把当前进程隔离描述为完全安全执行任意不可信代码。
|
||||
当前尚未提供容器、受限系统账户、seccomp、Windows AppContainer 或 macOS Sandbox，因此 Plugin 进程仍具有当前操作系统用户授予的一般文件访问能力。正式社区插件分发或“一键安装”前必须完成以下安全门槛：
|
||||
|
||||
- 由 Tauri/Rust Host 统一启动进程并提供平台级文件、网络、子进程和资源配额限制；
|
||||
- 安装/更新时完整展示 executable 与全部参数，明确警告并要求用户主动确认；
|
||||
- 固定包来源和版本，增加包哈希/签名与可信发布者校验；
|
||||
- 默认禁止访问 Vault、凭据和宿主环境，只通过声明 Permission 与受控 Host API 授权；
|
||||
- 关闭 Host 时终止完整进程树，不只结束直接子进程。
|
||||
|
||||
在这些门槛完成前，当前 MCP Host 只适用于内置 Fixture、团队可信插件和开发联调；不得把它描述为可以安全执行任意社区代码。上述安装确认要求遵循 MCP [SEP-1024](https://modelcontextprotocol.io/seps/1024-mcp-client-security-requirements-for-local-server-)；`uvx` 行为依据 uv 官方 [Using tools](https://docs.astral.sh/uv/guides/tools/) 文档。
|
||||
|
||||
## 7. Host API
|
||||
|
||||
@@ -262,6 +274,7 @@ pnpm build
|
||||
- Secret Reference 注入；
|
||||
- Plugin Registry 持久化、签名与社区来源校验；
|
||||
- 操作系统级沙箱；
|
||||
- 一键安装前的完整命令展示与确认 UI；
|
||||
- Tool 列表热更新的无中断替换。
|
||||
|
||||
阶段 D 将在当前 Plugin Runtime 上继续增加 Command、Settings、Secret Contract 和命名空间 Storage，不修改 Agent 使用内部 Tool Contract 的原则。
|
||||
|
||||
Reference in New Issue
Block a user