minidoracat/mcp-feedback-enhanced

Эта страница переведена автоматически. Технические детали смотрите в оригинале. Открыть оригинал

3,8 тыс. stars 353 forks Качество 82 Тренд 47NOASSERTION

Улучшенный MCP-сервер для интерактивной обратной связи пользователей и выполнения команд в разработке с помощью искусственного интеллекта, с поддержкой двух интерфейсов (веб-интерфейс и настольные приложения) с интеллектуальной средой...

Обзор

Фабио Феррейра | Оригинальный проект ⭐ Minidoracat sanshao85/mcp-feedback-collector Это MCP-сервер, который устанавливает , предоставляющий двойные варианты интерфейса, идеально адаптируясь к локальным и . Направляя ИИ для подтверждения с пользователями, а не совершая спекулятивные операции, он может объединить несколько вызовов инструментов в один запрос, ориентированный на обратную связь, значительно снижая стоимость платформы и повышая эффективность разработки. - 🖥️ : Нативный кроссплатформенный опыт работы на рабочем столе, поддерживающий Windows, macOS, Linux - 🌐 : Нет необходимости GUI, подходит для удалённых и WSL-сред - 🔧 : Выберите наиболее подходящий режим интерфейса в соответствии с требованиями среды - 📦 : Оба интерфейса обеспечивают одинаковый функциональный опыт версия 2.5.0 вводит поддержку кроссплатформенных десктопных приложений на базе фреймворка Tauri, поддерживая платформы Windows, macOS и Linux с нативным опытом работы на рабочем столе. 1. → инструмент с усиленной обратной связью MCP 2.

Обзор (машинный перевод)

** 🌐 Language / 語言切換:* English | 繁體中文 | 简体中文

Оригинальный автор: Фабио Феррейра | Оригинальный проект ⭐ Enhanced Fork: Minidoracat Справочник по дизайну UI: sanshao85/mcp-feedback-collector

📢 Статус технического обслуживания (2026-08)

Проект снова поддерживается. Пожалуйста, обновитесь до версии 2.6.1 — это исправляет уязвимость при выполнении команд:

Что изменилось в v2.6.1:

🔒 Выполнение команды удалено — исправления #219 (неаутентифицированный WebSocket мог выполнять произвольные программы). Старый блок-лист фиксировал только метасимволы оболочки, но поскольку при выполнении использовались [shell=False, метасимволы никогда не были риском — cat, curl, wget, python проходили напрямую, а авто-команда была включена по умолчанию. Эта функция исчезла навсегда. См. SECURITY.md.

🔒 Cross-site WebSocket Hijacking исправлено (частно сообщается как GHSA-cmr5-gpm3-79vf, GHSA-2wx7-r4rh-f663): браузеры не ограничены политикой одного происхождения при открытии WebSocket, поэтому вредоносная страница может заставить ваш браузер подключиться к локальному /ws. Origin теперь проверяется перед accept(), а попытки кросс-оригинга отклоняются с 403.

Эта страница переведена автоматически. Технические детали смотрите в оригинале.

README

Показан фрагмент оригинального README. Открыть оригинал.

MCP Feedback Enhanced

🌐 Language / 語言切換: English | 繁體中文 | 简体中文

Original Author: Fábio Ferreira | Original Project ⭐ Enhanced Fork: Minidoracat UI Design Reference: sanshao85/mcp-feedback-collector

📢 Maintenance Status (2026-08)

The project is maintained again. Please upgrade to v2.6.1 — it fixes a command execution vulnerability:
uvx mcp-feedback-enhanced@latest
What changed in v2.6.1:

🔒 Command execution removed — fixes #219 (unauthenticated WebSocket could execute arbitrary programs). The old blocklist only caught shell metacharacters, but since execution used shell=False metacharacters were never the risk — cat, curl, wget, python passed straight through, and auto-command was enabled by default. The feature is gone for good. See SECURITY.md.

🔒 Cross-Site WebSocket Hijacking fixed (reported privately as GHSA-cmr5-gpm3-79vf, GHSA-2wx7-r4rh-f663): browsers are not restricted by the same-origin policy when opening a WebSocket, so a malicious page could make your browser connect to the local /ws. Origin is now validated before accept(), and cross-origin attempts are rejected with 403.

🐛 Fixed the Starlette breaking change that made the Web UI return 500 (#213, #217, #221, #228).

🐛 Fixed image serialization (#154 and related) by switching to standard mcp.types.ImageContent.

Current maintenance scope: security issues, and compatibility breaks that make installs unusable (dependency updates, upstream breaking changes). Anything beyond that will be decided from community feedback — see the pinned discussion.

One thing worth stating plainly: the original selling point was “consolidate multiple round-trips into a single Cursor request to save quota”. Cursor moved to token-based usage pricing in June 2025, so that premise no longer holds (see #115, #200). The positioning is now “insert human checkpoints into long-running tasks” — not a quota-saving tool.

Also note MCP and its clients now natively support Elicitation (server-initiated requests for user input) and MCP Apps (tools returning interactive UI). If native capabilities cover

Открыть полный README на GitHub

Установка

uvx mcp-feedback-enhanced@latest

Новичок в MCP? Начните с руководства на mcpskill.org →

Конфигурация

{
  "mcpServers": {
    "mcp-feedback-enhanced": {
      "command": "uvx",
      "args": ["mcp-feedback-enhanced@latest"],
      "timeout": 600,
      "autoApprove": ["interactive_feedback"]
    }
  }
}