agents/ability-call should only dispatch abilities that opt into an external surface
メンテナーはふだん 1 日以内に返信
まだ誰も着手していません。
評価
調査の方向性
Start by locating the agents/ability-call and agents/ability-search implementations and the agents_ability_call_permission filter. Trace how registered ability metadata is read and how dispatchability is decided, then check the related tests. Done means calls and search results follow the external-surface rule by default, hosts can override it with a filter, and the permission callback receives the target name and metadata.
索引モデルが issue の本文から書いたものです。
説明
Summary
agents/ability-call executes any registered ability by name and checks only the target ability's permission_callback. It ignores the target's exposure metadata (show_in_rest, mcp.public).
Many plugins register in-process primitives with show_in_rest: false and a permissive permission callback. They expect only trusted server-side PHP to call them, and in the ecosystem "not REST-exposed" is commonly treated as "internal". When a host widens agents_ability_call_permission for non-administrators, which is the documented extension point, every such primitive becomes callable by those users. agents/ability-call is itself show_in_rest: true, so that includes calls through core /wp-abilities/v1.
Proposal
- By default,
agents/ability-call(andagents/ability-searchresults) only dispatch abilities that opt into an external surface:meta.show_in_rest === trueormeta.mcp.public === true. This matches the WordPress MCP adapter convention. - Add a filter, e.g.
agents_ability_call_dispatchable, for hosts that need a different rule. - Pass the target ability name and meta into
agents_ability_call_permission, so hosts can make per-target decisions without re-reading the registry.
Context
The Extra Chill MCP worked around this at the host layer (Extra-Chill/extrachill-mcp#24). The fix belongs in the substrate so every host gets a safe default.
🤖 AI-generated (Extra Chill Bot / Pi).
- 主要言語
- PHP
- スター
- 33
- フォーク
- 9
- 平均マージ
- 36分
- マージ済み PR（30日）
- 13
環境構築
このプロジェクトには開発コンテナ、Dockerfile、コントリビューションガイドがありません。まず README を読み、一般的な手順ははじめてのコントリビューションガイドを参照してください。
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
Automattic/agents-api のほかの issue
-
難易度 2/5 1〜3時間 初心者へのやさしさ 75/100
Automattic/agents-api#564 ·
メンテナーはふだん 1 日以内に返信
-
難易度 3/5 1〜2日 初心者へのやさしさ 45/100
Automattic/agents-api#584 ·
メンテナーはふだん 1 日以内に返信
-
難易度 3/5 1〜2日 初心者へのやさしさ 65/100
Automattic/agents-api#560 ·
メンテナーはふだん 1 日以内に返信
-
enhancement
難易度 4/5 3〜5日 初心者へのやさしさ 45/100
Automattic/agents-api#552 ·
メンテナーはふだん 1 日以内に返信
-
enhancement
難易度 5/5 1週間以上 初心者へのやさしさ 45/100
Automattic/agents-api#551 ·
メンテナーはふだん 1 日以内に返信
Automattic/agents-api の issue をすべて見る
似ている issue
-
Bug-Report
難易度 2/5 1〜3時間 初心者へのやさしさ 72/100
RSS-Bridge/rss-bridge#5158 ·
メンテナーはふだん 1 日以内に返信
-
難易度 1/5 1時間未満 初心者へのやさしさ 82/100
octobercms/october#6150 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
-
type/bug
難易度 2/5 1〜3時間 初心者へのやさしさ 62/100
flarum/framework#5301 · コメント 1 件 ·
メンテナーはふだん 1 日以内に返信
-
Add TuneIn-DirMon in the bot list対応中かも @liviuconcioiu が今日担当しました。 オープン
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
matomo-org/device-detector#8424 ·
メンテナーはふだん 1 日以内に返信