在 arcrun-mcp worker 實作 MCP Authorization 規範(OAuth 2.1 + PKCE S256), 讓 claude.ai 遠端 connector 安全登入;並修掉「Bearer 明碼 namespace 直接放行」漏洞。 安全模型 - /authorize 同意頁以 owner secret(CF Secrets MCP_OWNER_SECRET)把關,只有 owner 知道 → 只知 URL 的人走不完 OAuth、拿不到 token。 - access_token 是 /mcp 唯一接受的 bearer(預設);明碼 namespace 舊路徑移除(步驟 5 直接 401)。 實作 endpoint(掛 worker 根路徑) - RFC 9728 /.well-known/oauth-protected-resource(+/mcp 變體)+ 401 帶 WWW-Authenticate: Bearer resource_metadata=... - RFC 8414 /.well-known/oauth-authorization-server(response_types=code, S256, none) - RFC 7591 /register(public client,無 secret,無狀態不落地) - GET/POST /authorize(PKCE S256 + owner-secret 閘 + redirect_uri 白名單) - POST /token(authorization_code + PKCE 驗證 → access_token 綁定 owner namespace) 儲存鐵律 - authorization code / access token → 短效 KV OAUTH_KV(key 用 SHA-256 hash、帶 TTL、code 一次性) - owner secret / static token → CF Secrets(非 KV、非明碼 var) - DCR client / refresh token → 不落地(無狀態 / 不實作,避免長效機密進 KV) 相容決策 - 本機 CLI/GUI/Claude Code → 用真祕密 MCP_STATIC_TOKEN(CF Secret)取代舊明碼 namespace - 官方 SaaS partner-key 路徑行為不變 - ALLOW_PLAINTEXT_NAMESPACE 逃生門預設關(僅遷移期) 驗證:tsc exit 0;vitest 42/42(oauth 22 + partner-auth 10 改測真實 middleware + 既有 10); wrangler deploy --dry-run 打包過、OAUTH_KV binding 正確識別。設計文件 mcp/OAUTH.md。 Co-Authored-By: Claude Opus 4.8 <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_015d5jDbuqT5Htwv3Q88XXKk
Arcrun MCP Server
Arcrun 是 AI 優先(AI-First) 的工作流自動化平台。 跟 AI 描述你的意圖,Arcrun 幫你把它變成可重複執行、不需要 AI 的自動化工作流。
Arcrun 是反過來的 n8n。n8n 從手寫程式開始,Arcrun 從 AI 描述開始——你說「去抓銀行匯率,用 Telegram 通知我」,AI 把它拆成三元組,Arcrun 查零件庫、組裝、執行。第一次需要 AI,之後自動跑,不再花 Token。
本目錄是 Arcrun 的 MCP Server(已併入 arcrun 主庫 arcrun/mcp/),讓 Claude Code 等 AI client 直接呼叫 Arcrun 的工作流與零件功能。它是「薄殼」——連哪台 cypher / 哪個帳號由設定決定,與 CLI 共用同一份身份來源。
快速上手
最簡單:用 CLI 產生連線設定(推薦)
acr mcp-setup
acr mcp-setup 依你的 arcrun 設定(env > 專案 .arcrun.yaml > 全域)在當前資料夾寫 .mcp.json,
Claude Code 進此資料夾就連對的 MCP。acr init 也會自動順帶跑這步。
- 沒設
mcp_url→ 連平台預設https://mcp.arcrun.dev。 - 自架 / 接案:在
.arcrun.yaml設mcp_url(或ARCRUN_MCP_URLenv)指向自己 / 客戶的 MCP,再acr mcp-setup。
手動設定(Claude Desktop / Cursor)
.mcp.json / client MCP 設定內容(remote HTTP MCP):
{
"mcpServers": {
"arcrun": {
"type": "http",
"url": "https://mcp.arcrun.dev"
}
}
}
平台託管的 MCP 需要 arcrun API Key 授權;自架的 MCP 綁你自己的 cypher。 連線 URL 以
acr mcp-setup產出的為準。
使用
type: http(Streamable HTTP transport)。舊版 SSE 格式(type: sse)已不支援。
MCP Tools 說明
零件開發(WASM)
零件是 Arcrun 的最小執行單元,以 TinyGo 編譯為 .wasm,透過 stdin/stdout JSON 通訊。
| Tool | 說明 |
|---|---|
u6u_get_component_guide |
開發新零件前必須先呼叫。 取得 TinyGo 開發指引,包含白名單 import、禁止行為、contract YAML 範例、本地測試指令。 |
u6u_search_components |
用自然語言語意搜尋零件庫。例如:「查詢 Google Sheets 資料」、「發送 LINE 訊息」。回傳零件清單含 canonical_id、描述、評分。 |
u6u_get_component |
取得指定零件的完整合約(input_schema、output_schema、gherkin_tests、評分統計等)。 |
u6u_publish_component |
提交 TinyGo WASM 零件。需提供 contract(合約物件)與 wasm_base64(編譯後的 .wasm base64)。Registry 自動執行沙盒驗收。 |
工作流執行
| Tool | 說明 |
|---|---|
u6u_execute_workflow |
在沙盒中執行工作流。輸入 triplets(三元組陣列)與 context,用於部署前驗證。 |
u6u_deploy_workflow |
將工作流 YAML 部署至雲端引擎。輸入 yaml_content。 |
工作流管理
| Tool | 說明 |
|---|---|
u6u_list_workflows |
列出已部署的工作流。可傳入選填的 tag 參數篩選。 |
u6u_get_workflow |
取得指定工作流的 metadata。輸入 workflow_id。 |
零件管理
| Tool | 說明 |
|---|---|
u6u_list_components |
列出已發佈的零件。可傳入選填的 tag 參數篩選。 |
Tag 管理
| Tool | 說明 |
|---|---|
u6u_create_tag |
建立新 tag。輸入 name(必填)與 description(選填)。 |
u6u_list_tags |
列出當前命名空間下所有 tag。 |
u6u_delete_tag |
刪除指定 tag。輸入 tag_name。 |
u6u_tag_resource |
為工作流或零件加上 tag。輸入 resource_type、resource_id、tag_name。 |
u6u_untag_resource |
移除工作流或零件的 tag。 |
零件開發流程(WASM)
Arcrun 的零件是 TinyGo 編譯的 .wasm,透過 stdin/stdout JSON 通訊,可在 Cloudflare Workers(Tier 1/2)和 Wazero 邊緣環境(Tier 3)執行。
步驟一:取得開發指引
u6u_get_component_guide
指引包含:TinyGo 白名單 import、禁止行為、component.contract.yaml 完整範例、本地測試指令。
步驟二:搜尋現有零件
u6u_search_components("查詢 Google Sheets 資料")
若已有符合的零件,直接使用,不需要重新開發。
步驟三:開發零件(若缺件)
依指引用 TinyGo 撰寫零件,只使用白名單 import:
import (
"os"
"io"
"encoding/json"
)
編譯:
tinygo build -o my_component.wasm -target=wasi .
本地測試:
echo '{"input_field":"value"}' | wasmtime my_component.wasm
步驟四:提交零件
u6u_publish_component(
contract={...}, // component.contract.yaml 內容
wasm_base64="..." // base64(my_component.wasm)
)
Registry 自動執行沙盒驗收(體積、syscall 掃描、Gherkin 測試)。
工作流開發流程
步驟一:搜尋零件
u6u_search_components("查詢匯率")
u6u_search_components("發送 Telegram 訊息")
步驟二:沙盒測試
u6u_execute_workflow(
triplets=["system >> 查詢匯率 >> get-exchange-rate", ...],
context={"currency_pair": "USD/TWD"}
)
步驟三:部署
u6u_deploy_workflow(yaml_content="...")
Inspector 測試界面
開啟 https://mcp.arcrun.dev/inspector(或自架 MCP 的 /inspector)即可在瀏覽器中互動式測試所有 MCP tools。
搭配 arcrun-gui 使用
arcrun-gui 是 Arcrun 的人類操作介面,與 arcrun-mcp 共享同一個 KBDB 狀態:
- AI 透過 arcrun-mcp 操作(搜尋零件、執行 Workflow)
- 人類透過 arcrun-gui 操作(拖拉畫布、查看零件庫)
- AI 的操作結果即時反映在 arcrun-gui 的畫布上
詳細開發指南請參閱 GUIDE.md。