Безопасность

Доступ ограничен токеном и правами

Проверка ability выполняется до валидации полей и работает fail closed: без подтверждённого пользователя инструмент отказывает, а не пропускает вызов. Значения аргументов и токены в журнал не попадают.

read-инструментов: 38
write-инструментов: 19
Запросов/мин: 60
Транспорта: 2

Гранулярные abilities

Токен выдаётся с abilities mcp:read и mcp:write. Команда выдачи позволяет ограничиться чтением.

mcp:read 38 инструментов

search_products Фильтры: фабрика, стиль, материал, цвет, размер, система открывания. Кеш 300 с.
get_product_details Опции со значениями, изображения, атрибуты, акции, описание.
get_product_configuration Размеры с наценками, опции, фурнитура, погонаж и услуги для позиции заказа.
get_product_related Связанные товары из oc_product_related.
get_product_complects Комплекты, в которые входит товар, и их состав.
get_product_price_history История изменения цен товара.
calculate_price Каждое правило возвращается отдельной строкой в markups[].
get_order_summary Полная карточка заказа с вложенными сущностями.
search_orders Поиск по клиенту, статусу, источнику, менеджеру, товару и периоду.
get_orders_stats Суммы, средний чек и разбивки по статусам, источникам, менеджерам и месяцам.
get_order_payments Платежи и остаток к оплате.
get_order_logs Журнал изменений постранично.
get_order_price_history История изменения цен позиций.
get_order_measurements Замеры заказа с позициями и результатами.
get_order_installations Монтажи заказа с этапами и позициями.
get_installation_schedule График монтажей на период.
get_order_claims Фильтры по заказу, статусу и признаку закрытия.
get_claims_stats Аналитика рекламаций: суммы, компенсации, разбивки.
get_leads Корзина, источник, страница заявки, статус и менеджер.
get_leads_stats Суммы по лидам, корзины, разбивки по статусам и менеджерам.
get_lead Карточка лида: история изменений и связанные заказы.
get_lead_statuses Справочник статусов лида.
get_sales_dashboard Заказы, лиды, рекламации и каталог одним ответом.
get_manager_performance Заказы, сумма, конверсия и рекламации по менеджерам.
get_conversion_funnel Воронка лидов и выручка от конвертированных.
get_customer_profile История клиента по телефону или e-mail.
get_categories Дерево категорий и коллекций с количеством товаров.
get_factories Фабрики со страной, сайтом и числом товаров.
get_opening_systems Системы открывания с ограничениями по весу и габаритам.
get_door_sizes Размеры полотен и группы размеров с коэффициентами.
get_pogonazh_kits Комплекты погонажа и фурнитуры, состав и рекомендуемые для двери.
get_services Услуги монтажа, замера и демонтажа с ценами.
get_catalog_stats Ассортимент и цены: разбивки по типу, фабрике и категории.
get_availability_report Наличие и позиции «под заказ».
get_attribute_dictionary Реальные значения стилей, материалов, цветов и типов для фильтров.
get_pogonazh_groups Группы погонажа и фурнитуры.
get_store_seo_profile Описание магазина, шаблоны и текущие мета-поля.
list_seo_gaps Что не заполнено, постранично через limit и offset.

Каталог, цены, сводки заказов, рекламации, лиды, справочники и SEO-профиль.

mcp:write 19 инструмента

create_order Пишет 8 таблиц: orders → orders_items → … → order_logs.
update_order Правка клиента, адреса, статуса, скидки, доставки и оплаты.
update_order_status Смена статуса с записью в журнал.
add_order_item Дозаказ товара каталога или произвольной строки.
update_order_item Правка позиции с пересчётом итога.
add_order_payment Платёж, оплаченная сумма и остаток.
add_order_note Заметка в журнале заказа.
recalculate_order_totals Пересчёт итога: позиции − скидка + доставка.
create_order_measurement Заявка на замер с датой, замерщиком и позициями.
update_order_measurement Статус, дата, сложности, фото и подтверждение замера.
save_measurement_result Габариты, допуски, расчётные размеры и рекомендации.
create_order_installation Заявка на монтаж: бригада, сроки, состав работ.
update_installation_stage Создание и правка этапа монтажа.
add_installation_photo Фото монтажа с привязкой к этапу и координатами.
create_order_claim Позиции, тип и серьёзность дефекта, ожидания клиента.
update_lead_status Смена статуса с записью в историю.
assign_lead Назначение менеджера.
convert_lead_to_order Лид → заказ с переносом корзины.
save_seo_meta Запись meta_title, meta_description и description; dry_run для проверки.

Создание заказа, создание рекламации и запись SEO-мета — только эти три операции меняют данные.

Отказ по умолчанию

Ability проверяется внутри инструмента первой — до $request->validate(). Правила вида exists:oc_product,product_id ходят в базу, и неавторизованный вызов не должен их выполнять. Отказ возвращается как isError: true с текстом «Токену не разрешено действие «mcp:…»».

Лимиты и аудит

Лимит считается на конкретный токен: ключ берётся по идентификатору Personal Access Token, затем по пользователю, затем по IP. Вызовы, отклонённые лимитом, попадают в журнал.

Лимит 60 запросов в минуту на токен, окно — 1 мин.
Превышение — статус 429, вызов не доходит до инструмента.
Журнал пишется отдельным каналом mcp в storage/logs/mcp-<date>.log.
Одна строка — один вызов; запись делается до проверки токена, поэтому отказы тоже видны.

Поля журнала

method Метод JSON-RPC: tools/call, tools/list.
tool Имя вызванного инструмента.
argument_keys Только ключи аргументов, без значений.
user_id Пользователь, которому принадлежит токен.
status Код ответа, включая 401 и 429.
duration_ms Длительность обработки вызова.

Значения аргументов, токены и пароли в журнал не записываются.

Обращение с токеном

Токен — единственный секрет на стороне клиента. Его значение показывается один раз, при выдаче.

Выдача токенов

# полный доступ: mcp:read + mcp:write
php artisan mcp:token --name=dsh-prod

# только чтение
php artisan mcp:token --name=readonly --abilities=mcp:read

# ротация: отозвать прежние и выдать новый
php artisan mcp:token --name=rotate --revoke-all

Query-параметр не попадает в логи

Middleware McpTokenFromQuery переносит ?token= в заголовок Authorization и удаляет параметр из запроса до логирования. Предпочитайте заголовок, если клиент его умеет.

Коды ответов, связанные с доступом

200

Ответ JSON-RPC, в том числе result.isError при ошибке валидации

401

Токен отсутствует или недействителен

405

GET или DELETE на эндпоинт (разрешён только POST)

429

Превышен лимит запросов на токен

Как выдать токен и настроить клиент — на странице «Подключение».

Открыть инструкцию