u/weesIinia

MCP server yazarken fark ettiğim bir problem vardı: tool yazmak kolay ama agent’a açınca “bu tool nereye kadar yetkili olmalı?” kısmı biraz havada kalıyor.

Mesela read_file her dosyayı okuyabilmeli mi?
delete_file approval olmadan çalışmalı mı?
run_command rastgele komut çalıştırabilmeli mi?
Bir tool .env içeriğini dönerse bunu log’a yazmalı mıyız?

Bunun için ToolGate diye bir npm paketi hazırladım.

Var olan MCP tool handler’ını sarıp şu kuralları koyabiliyorsunuz:

• read / write / external / destructive risk seviyesi
• approval zorunluluğu
• dosya yolu allowlist / denylist
• domain allowlist / denylist
• komut allowlist / denylist
• timeout
• rate limit
• secret redaction
• JSONL audit log
• policy hatalarında düzenli response

Örnek:

server.tool(
  "delete_file",
  schema,
  gate({
    risk: "destructive",
    requireApproval: true,
    allowedPaths: ["src/**", "docs/**"],
    deniedPaths: [".env", "secrets/**"],
    audit: true,
    redact: true,
    timeoutMs: 10_000
  }, async (input) => {
    // gerçek tool logic burada
  })
);

MCP SDK’nın yerine geçmiyor; sadece tool handler’ın önüne policy katmanı koyuyor.

MCP server yazan varsa fikrini merak ederim. Siz böyle bir şeyi middleware olarak mı kullanırdınız, yoksa proxy/gateway tarafı daha mı mantıklı olurdu?

Repo: https://github.com/Wezylnia/toolgate
npm: toolgate-mcp

Hi everyone,

I’m building Repository Trust Doctor, an open-source repository analysis tool focused on project quality, maintainability, and repository setup.

The goal is to help developers get a clearer picture of a repository before using it, reviewing it, or contributing to it. Instead of only showing a single score, the tool produces evidence-based findings with rule IDs, severity, confidence, evidence, and suggested actions.

Current capabilities include:

• Static analysis of repository structure and maintenance signals
• Review of GitHub Actions and workflow configuration
• Basic checks for sensitive file names and suspicious patterns
• Dockerfile and container configuration analysis
• Dependency file and lockfile checks for npm, NuGet, and Python projects
• Console, JSON, and Markdown report output
• Trust profile information in reports
• Stable finding fingerprints for tracking repeated findings across scans

I’m looking for feedback on the current direction, report format, analyzer categories, and rule ideas that would be useful for real-world open-source repositories.

Contributions are also welcome, especially around new analyzer rules, report improvements, dependency analysis, SARIF output, vulnerability/license metadata, and future reporting/dashboard features.

I’ll share the repository link in the comments.

Hi everyone,

I’m building Repository Trust Doctor, an open-source repository analysis tool focused on project quality, maintainability, and repository setup.

The goal is to help developers get a clearer picture of a repository before using it, reviewing it, or contributing to it. Instead of only showing a single score, the tool produces evidence-based findings with rule IDs, severity, confidence, evidence, and suggested actions.

Current capabilities include:

• Static analysis of repository structure and maintenance signals
• Review of GitHub Actions and workflow configuration
• Basic checks for sensitive file names and suspicious patterns
• Dockerfile and container configuration analysis
• Dependency file and lockfile checks for npm, NuGet, and Python projects
• Console, JSON, and Markdown report output
• Trust profile information in reports
• Stable finding fingerprints for tracking repeated findings across scans

I’m looking for feedback on the current direction, report format, analyzer categories, and rule ideas that would be useful for real-world open-source repositories.

Contributions are also welcome, especially around new analyzer rules, report improvements, dependency analysis, SARIF output, vulnerability/license metadata, and future reporting/dashboard features.

I’ll share the repository link in the comments.

Merhaba,

**Repository Trust Doctor** adında açık kaynak bir repo analiz aracı geliştiriyorum.

Projenin amacı; bir repoyu kullanmadan, incelemeden veya katkı vermeden önce proje kalitesi, sürdürülebilirlik durumu ve repo yapılandırması hakkında daha net bir fikir vermek.

Araç, repo dosyalarını statik olarak analiz ediyor ve bulguları kural ID’si, önem seviyesi, güven skoru, kanıt ve önerilen aksiyonlarla birlikte raporluyor.

Şu anda mevcut yetenekleri:

* Repo yapısını ve bakım sinyallerini statik olarak analiz eder.

* GitHub Actions ve workflow dosyalarındaki olası yapılandırma risklerini inceler.

* Hassas dosya adları ve şüpheli pattern’ler için temel kontroller yapar.

* Dockerfile ve container yapılandırmalarını analiz eder.

* npm, NuGet ve Python projelerinde dependency dosyalarını ve lockfile kullanımını kontrol eder.

* Console, JSON ve Markdown formatlarında rapor üretebilir.

* Her bulgu için kural ID’si, önem seviyesi, güven skoru, kanıt ve önerilen aksiyon bilgisi sunar.

* Raporlarda trust profile bilgisine yer verir.

* Tekrar eden taramalarda aynı bulguları takip edebilmek için stabil finding fingerprint üretir.

Şu an özellikle projenin yönü, rapor formatı, analiz kategorileri ve gerçek projelerde işe yarayabilecek kural fikirleri hakkında geri bildirim arıyorum.

Katkı vermek isteyenler için de yeni analyzer kuralları, rapor iyileştirmeleri, dependency analizi, SARIF çıktısı, vulnerability/license metadata ve ilerideki dashboard/raporlama özellikleri gibi alanlar açık.

Repo linkini yorumlara bırakacağım.

Merhaba,

Repository Trust Doctor adında açık kaynak bir repo analiz aracı geliştiriyorum.

Projenin amacı; bir repoyu kullanmadan, incelemeden veya katkı vermeden önce proje kalitesi, sürdürülebilirlik durumu ve repo yapılandırması hakkında daha net bir fikir vermek.

Araç, repo dosyalarını statik olarak analiz ediyor ve bulguları kural ID’si, önem seviyesi, güven skoru, kanıt ve önerilen aksiyonlarla birlikte raporluyor.

Şu anda mevcut yetenekleri:

• Repo yapısını ve bakım sinyallerini statik olarak analiz eder.
• GitHub Actions ve workflow dosyalarındaki olası yapılandırma risklerini inceler.
• Hassas dosya adları ve şüpheli pattern’ler için temel kontroller yapar.
• Dockerfile ve container yapılandırmalarını analiz eder.
• npm, NuGet ve Python projelerinde dependency dosyalarını ve lockfile kullanımını kontrol eder.
• Console, JSON ve Markdown formatlarında rapor üretebilir.
• Her bulgu için kural ID’si, önem seviyesi, güven skoru, kanıt ve önerilen aksiyon bilgisi sunar.
• Raporlarda trust profile bilgisine yer verir.
• Tekrar eden taramalarda aynı bulguları takip edebilmek için stabil finding fingerprint üretir.

Şu an özellikle projenin yönü, rapor formatı, analiz kategorileri ve gerçek projelerde işe yarayabilecek kural fikirleri hakkında geri bildirim arıyorum.

Katkı vermek isteyenler için de yeni analyzer kuralları, rapor iyileştirmeleri, dependency analizi, SARIF çıktısı, vulnerability/license metadata ve ilerideki dashboard/raporlama özellikleri gibi alanlar açık.

Repo linkini yorumlara bırakacağım.