AI Extensions: Inspector 2.9.0, סודות וסתירה במסמכי FastMCP
סקירת היום בודקת את הלקוח לצד השרת.
סקירת היום בודקת את הלקוח לצד השרת. MCP Inspector 2.9.0 כולל תיקוני סודות ובעיה ידועה בפרופילי OAuth מרובים. הרשומה העדכנית של FastMCP סותרת את מדריך ההתקנה לגבי הגרסה היציבה. לא התקנו או ערכנו ביקורת אבטחה. זו בדיקת 1 באוקטובר, לא טענה ששניהם הושקו היום. כוכבים הם תשומת לב, לא איכות, בטיחות או תעבורה.
בקצרה
MCP Inspector הוא לקוח בדיקה רשמי לשרתי MCP, עם ממשק דפדפן, CLI וטרמינל. API ההפצות החי מציג 2.9.0 שפורסם ב-30 בספטמבר ב-22:23:56 UTC. ההערות כוללות הסתרת סודות משאילתות URL בשגיאות CLI, הסתרת זנב סוד שמופרד ב-& גולמי, בקשת חיבור מחדש אחרי שינוי כותרות ושמירת OAuth בחנות סודות. הבעיה הידועה: פרופילים לאותו שרת יכולים לדרוס זה את האסימונים של זה. הפתרון המתועד דורש נתיבי מצב נפרדים וחנות סודות נפרדת: MCP_INSPECTOR_SECRET_STORE=file ו-MCP_INSPECTOR_SECRET_FILE שונה לכל פרופיל, או תיקיות נפרדות. קובץ מצב נפרד לבדו אינו מספיק. זו הנחיית ההפצה ולא בדיקה שלנו. ↗
Inspector: התקנה, רישוי ופעילות
התקנת Inspector: README דורש Node >=22.19.0 ומתעד npx @modelcontextprotocol/inspector, --cli ו--tui. המלצתי לבדיקה ניתנת לשחזור היא להצמיד @2.9.0 ולהשתמש בשרת זמני, לא בסביבת עבודה מחוברת. הפעלת שרת stdio לא מוכר מריצה קוד מקומי; ממשק בדיקה אינו הופך אותו לנתונים. יש לבדוק מקור ולהגביל קבצים ורשת. LICENSE נמצא במעבר: קוד חדש Apache-2.0, תרומות קודמות ללא הסכמה לרישוי מחדש MIT, ותיעוד בלי מפרטים CC-BY-4.0. אין לתאר הכול כ-MIT. תצפית 1 באוקטובר: 10,997 כוכבים, 1,535 מזלגות ודחיפה אחרונה ב-07:17:08 UTC. אלה סימנים, לא ביקורת. ↗
FastMCP: כלים מוסתרים עדיין יכולים לפעול
FastMCP הוא מסגרת Python לשרתי ולקוחות MCP. API ההפצות תחת PrefectHQ מציג v4.0.10 מ-25 בספטמבר ב-17:19:20 UTC. ההערות מתקנות כלי משימות מאחורי search transforms ו-CodeMode: קריאה דרך כלי אחר מחזירה תוצאה ולא קבלה ריקה. כלי מוסתר בגילוי אינו בהכרח בלתי נגיש לביצוע. רישיון המקור Apache-2.0; לתלויות ושירותים תנאים משלהם. תצפית 1 באוקטובר: 27,948 כוכבים, 2,413 מזלגות ודחיפה ב-00:45:07 UTC. תחזוקה אינה הוכחת תאימות. ↗
מדריך התקנה שסותר את ההפצה
סתירת התקנה: המדריך החי עדיין קורא ל-FastMCP 4 גרסת קדם, מציין 3.x כיציבה ומציג 4.0.0b1; API ההפצות מציג v4.0.10 כאחרונה. README נותן uv add fastmcp. לא אמציא הבטחת תאימות מתוך סתירה. בחרו גרסה, הצמידו אותה ובדקו אינדקס חבילות ומדריך מעבר לפני התקנה. השתמשו בכלי דמה, נתונים זמניים והרשאה צרה. בדקו גילוי וקריאות עקיפות: חיפוש אינו מדיניות הרשאה. הגדירו אימות מרחוק במפורש ותוצאות כלים נשארות תוכן לא מהימן. ↗
בדיקת גילוי, ביצוע ואחסון בנפרד
תוכנית מקורית וניתוח: שמרו את שמות הכלים המוצהרים ובדקו בנפרד, בארגז חול ובפעולה לא מזיקה, האם כלי שהושמט עדיין נגיש דרך מתווך גלוי. השאירו סודות מחוץ לצילומים, בדקו לוגים לסודות ב-URL והתאימו מצב וחנות לכל פרופיל. הקוד להלן משווה קבוצות שמות בלבד; הוא אינו מגלה מסלולים נסתרים ואינו אוכף הרשאות. התרשים מפריד גילוי, ביצוע ואחסון סודות. רשימה קצרה עוזרת, אבל כל גבול צריך ראיות משלו.
בדיקה סינתטית מקורית
expected = {"read_demo", "list_demo"}
advertised = {"read_demo", "list_demo", "write_demo"}
assert advertised - expected == {"write_demo"}
print("unexpected:", sorted(advertised - expected))
# Exact-name bookkeeping, not an authorization control.
מקורות ומגבלות
- https://github.com/modelcontextprotocol/inspector
- https://github.com/modelcontextprotocol/inspector/releases/tag/2.9.0
- https://github.com/modelcontextprotocol/inspector/blob/main/LICENSE
- https://modelcontextprotocol.io/docs/2026-07-28/tools/inspector
- https://github.com/PrefectHQ/fastmcp
- https://github.com/PrefectHQ/fastmcp/releases/tag/v4.0.10
- https://github.com/PrefectHQ/fastmcp/blob/main/LICENSE
- https://gofastmcp.com/getting-started/installation