AI Extensions: Inspector 2.9.0 وحدود الأسرار وتعارض وثائق FastMCP
مراجعة اليوم تفحص العميل إلى جانب الخادم.
مراجعة اليوم تفحص العميل إلى جانب الخادم. يتضمن MCP Inspector 2.9.0 إصلاحات للأسرار ومشكلة معروفة لملفات OAuth المتعددة. ويتعارض إصدار FastMCP الحالي مع صفحة التثبيت حول النسخة المستقرة. لم نثبت المشروعين أو ندقق أمنهما. هذه مراجعة 1 أكتوبر وليست ادعاء بإطلاقهما اليوم. النجوم انتباه وليست جودة أو أمانا أو حركة استخدام.
الخلاصة
MCP Inspector عميل رسمي لاختبار خوادم MCP عبر الويب وCLI والطرفية. تعرض واجهة GitHub الحية الإصدار 2.9.0 المنشور في 30 سبتمبر 22:23:56 UTC. تشمل الملاحظات حجب أسرار استعلام URL في أخطاء CLI، وإخفاء ذيل سر تفصله علامة & خام، وطلب إعادة الاتصال عند تغيير الترويسات وتخزين OAuth في مخزن الأسرار. المشكلة المعروفة أن ملفات OAuth لخادم واحد قد تستبدل رموز بعضها. الحل الموثق يتطلب مسارات حالة منفصلة ومخازن أسرار منفصلة: MCP_INSPECTOR_SECRET_STORE=file وMCP_INSPECTOR_SECRET_FILE مختلف لكل ملف، أو مجلدات تخزين منفصلة. فصل ملف الحالة وحده لا يكفي. هذا وصف الإصدار ولم نختبر الحل. ↗
إعداد Inspector وترخيصه ونشاطه
إعداد Inspector: يتطلب README Node >=22.19.0 ويوثق npx @modelcontextprotocol/inspector و--cli و--tui. أوصي بتثبيت @2.9.0 واستخدام خادم مؤقت بدلا من بيئة شخصية مسجلة الدخول. تشغيل خادم stdio مجهول ينفذ كوده محليا؛ واجهة الفحص لا تحوله إلى بيانات خاملة. راجع الكود وحدد الوصول للملفات والشبكة. LICENSE انتقالي: الكود الجديد Apache-2.0، والمساهمات السابقة غير المعاد ترخيصها MIT، والوثائق دون المواصفات CC-BY-4.0. لا يصح وصف المستودع كله بأنه MIT. رصد 1 أكتوبر: 10997 نجمة و1535 تفريعا وآخر push في 07:17:08 UTC. هذه مؤشرات لا تدقيق. ↗
FastMCP: قد تنفذ الأدوات المخفية
FastMCP إطار Python لخوادم وعملاء MCP. تعرض واجهة الإصدار تحت PrefectHQ v4.0.10 المنشور 25 سبتمبر 17:19:20 UTC. تصلح الملاحظات أدوات المهام خلف search transforms وCodeMode: استدعاؤها عبر أداة أخرى يعيد النتيجة لا إيصالا فارغا. الاختفاء من الاكتشاف لا يعني استحالة التنفيذ. ترخيص المصدر Apache-2.0، وللتبعيات والخدمات شروط مستقلة. رصد 1 أكتوبر: 27948 نجمة و2413 تفريعا وآخر push عند 00:45:07 UTC. النشاط لا يثبت التوافق. ↗
دليل تثبيت يتعارض مع الإصدار
تعارض الإعداد: صفحة التثبيت الحية ما زالت تسمي FastMCP 4 تمهيديا و3.x مستقرا وتعرض 4.0.0b1، بينما واجهة الإصدار تسمي v4.0.10 الأحدث. يعطي README الأمر uv add fastmcp. لن أحول التعارض إلى وعد توافق. اختر الإصدار وثبته وتحقق من سجل الحزم وإرشادات الانتقال قبل التثبيت. استخدم أداة وهمية وبيانات مؤقتة وصلاحية ضيقة. افحص الأدوات المعروضة ومسارات الاستدعاء غير المباشر؛ البحث ليس سياسة صلاحيات. اضبط المصادقة البعيدة صراحة، وتبقى نتائج الأدوات محتوى غير موثوق. ↗
فحص الاكتشاف والتنفيذ والتخزين منفصلا
خطة أصلية وتحليل: سجل أسماء الأدوات المعلنة ثم اختبر منفصلا، في بيئة معزولة وبعملية غير ضارة، هل يمكن استدعاء أداة مخفية عبر وسيط ظاهر. أبق الأسرار خارج الصور وافحص السجلات بحثا عن أسرار URL، وطابق حالة OAuth مع مخزن كل ملف. الكود التوضيحي يقارن مجموعات أسماء فقط ولا يكتشف المسارات المخفية أو يفرض الصلاحيات. يفصل الرسم الاكتشاف والتنفيذ وتخزين الأسرار. تقليل القائمة مفيد لكن كل حد يحتاج دليله.
فحص توضيحي أصلي
expected = {"read_demo", "list_demo"}
advertised = {"read_demo", "list_demo", "write_demo"}
assert advertised - expected == {"write_demo"}
print("unexpected:", sorted(advertised - expected))
# Exact-name bookkeeping, not an authorization control.
المصادر والحدود
- https://github.com/modelcontextprotocol/inspector
- https://github.com/modelcontextprotocol/inspector/releases/tag/2.9.0
- https://github.com/modelcontextprotocol/inspector/blob/main/LICENSE
- https://modelcontextprotocol.io/docs/2026-07-28/tools/inspector
- https://github.com/PrefectHQ/fastmcp
- https://github.com/PrefectHQ/fastmcp/releases/tag/v4.0.10
- https://github.com/PrefectHQ/fastmcp/blob/main/LICENSE
- https://gofastmcp.com/getting-started/installation