Hacktoberfest 2026: những issue maintainer đã đánh dấu cho tháng Mười, đang mở và phù hợp người mới. Xem issue Hacktoberfest

Feature: Contract verification panel (pin tool contracts, diff on reconnect)

Đang mở
  • Có gì không ổn?
#2,727 0 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
4/5
Thời gian dự kiến
3-5 ngày
Mức phù hợp với người mới
45/100
Loại issue
Tính năng
Độ rõ ràng
Khá rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
typescript
Lĩnh vực
developer-experience, security, testing-qa

Hướng nghiên cứu

Start by tracing the Inspector’s existing tools, resources, prompts, and reconnect flows, then read the linked PIN-SPEC and reference implementation for hashing and comparison behavior. Identify the UI entry point and existing test locations for connection and inspection features. Done means a connected server can pin canonicalized contract hashes, compare them after reconnect, and display added, removed, and changed tools with the proposed direction grading.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

Feature: Contract verification panel (pin tool contracts, diff on reconnect)

Problem

The Inspector shows a server's current tools, resources, and prompts at a point in time. But there is no way to know if the tool contracts changed between sessions. MCP servers can silently add, remove, or modify tool definitions between connections (deploy, version bump, feature flag), and the Inspector has no mechanism to surface this.

We ran a drift watch over 24 popular MCP servers for two months and found 336 silent contract changes, including silent tool removals (Shopify dropped two validators, HubSpot removed a tool with no release notes channel). Full corpus: rugsnare drift-watch.

Proposal

Add a "Contract" tab or panel that:

  1. Pins the surface on first connect: hash each tool's {name, description, inputSchema} by canonicalized sha-256
  2. Compares on reconnect: after a server restart/reconnect, diff the current tools/list against the pinned snapshot
  3. Surfaces changes: show added / removed / changed tools with direction grading (breaking, loosened, expanded, cosmetic)

This would complement the Inspector's existing inspection capabilities with a temporal dimension: not just "what does this server expose" but "has what it exposes changed since I last looked."

Reference implementation

We ship a standalone CLI that does exactly this (rugsnare, Apache-2.0, zero dependencies). The Inspector could either integrate the hashing/comparison logic directly or shell out to rugsnare as an optional dependency. The pin format is an open spec (PIN-SPEC) with a POLICY class for verifier upgrades and an IDENTITY class for deployment changes.

Use cases
  • Developer: connect to a dev server, pin, upgrade the server, reconnect, see what changed before your agent does
  • Security reviewer: pin a production server, monitor for contract drift as part of an audit
  • CI gate: the same pins can be used in CI to fail builds on breaking contract changes

The OWASP MCP Security Cheat Sheet now recommends pinning tool contracts (PR #2764, merged; cheat sheet), so this aligns with where the ecosystem is heading.

Ngôn ngữ chính
TypeScript
Star
11.1k
Fork
1.6k
Merge trung bình
4 giờ 32 phút
Pull request đã merge (30 ngày)
136

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của modelcontextprotocol/inspector

Tất cả issue của modelcontextprotocol/inspector

Issue tương tự

Thêm issue về TypeScript

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.