acuvity/mcp-server-glif

mcp-server-glif 镜像说明

镜像概述

mcp-server-glif是由Acuvity打包的Docker镜像，基于glifxyz的开源源码构建，用于通过Model Context Protocol（MCP）运行AI工作流和管理glifs。镜像注重安全性，提供隔离沙箱、运行时防护等特性，支持多客户端集成与Kubernetes部署。

核心功能

安全隔离沙箱

• 隔离执行：工具在容器化沙箱内运行，防止横向移动。
• 默认非root：遵循最小权限原则，降低安全漏洞影响。
• 只读文件系统：确保运行时不可变性，防止未授权修改。
• 版本固定：锁定工具和依赖版本，保证部署一致性。
• CVE扫描：通过Docker Scout持续扫描漏洞。
• SBOM与溯源：提供供应链透明度，嵌入元数据和构建信息。
• 镜像签名：使用Cosign签名确保镜像完整性。

运行时防护

• Minibridge集成：建立安全Agent-MCP连接，支持Rego/HTTP策略 enforcement。
• 内置防护规则：包括资源完整性、隐蔽指令检测、敏感模式识别等（默认仅启用资源完整性）。

使用场景

• IDE集成：支持VS Code、Windsurf、Cursor等IDE的MCP服务器配置。
• 本地部署：通过Docker运行STDIO或HTTP/sse模式。
• 远程部署：结合Minibridge实现WebSocket隧道与MTLS安全连接。
• Kubernetes部署：通过Helm Chart快速部署到K8s集群。

配置说明

环境变量

• GLIF_API_TOKEN：必填，用于认证访问。

Docker部署示例

本地HTTP/sse模式

bash
docker run -it -p 8000:8000 --rm --read-only -e GLIF_API_TOKEN=<your_token> docker.io/acuvity/mcp-server-glif:0.9.9

客户端配置示例：

json
{
  "mcpServers": {
    "acuvity-mcp-server-glif": {
      "url": "http://localhost:8000/sse"
    }
  }
}

远程WebSocket隧道（MTLS）

1. 启动后端服务器：

bash
docker run -it -p 8000:8000 --rm --read-only -e GLIF_API_TOKEN=<your_token> -e MINIBRIDGE_MODE=backend -v $PWD/certs:/certs -e MINIBRIDGE_TLS_SERVER_CERT=/certs/server-cert.pem -e MINIBRIDGE_TLS_SERVER_KEY=/certs/server-key.pem -e MINIBRIDGE_TLS_SERVER_CLIENT_CA=/certs/client-ca.pem docker.io/acuvity/mcp-server-glif:0.9.9

2. 本地Minibridge前端配置（以Claude Desktop为例）：

json
{
  "mcpServers": {
    "acuvity-mcp-server-glif": {
      "command": "minibridge",
      "args": ["frontend", "--backend", "wss://<remote-url>:8000/ws", "--tls-client-backend-ca", "/path/to/ca.pem", "--tls-client-cert", "/path/to/client-cert.pem", "--tls-client-key", "/path/to/client-key.pem"]
    }
  }
}

Kubernetes部署（Helm）

bash
# 查看Chart信息
helm show readme oci://docker.io/acuvity/mcp-server-glif --version 1.0.0
# 安装Chart
helm install mcp-server-glif oci://docker.io/acuvity/mcp-server-glif --version 1.0.0 --set secrets.GLIF_API_TOKEN.value=<your_token>

镜像签名验证

bash
cosign verify --certificate-oidc-issuer "https://token.actions.githubusercontent.com" --certificate-identity "https://github.com/acuvity/mcp-servers-registry/.github/workflows/release.yaml@refs/heads/main" docker.io/acuvity/mcp-server-glif:latest

客户端集成

支持VS Code、Windsurf、Cursor、Claude Desktop、OpenAI Python SDK等客户端，具体配置可参考官方文档。

更多信息请访问：https://github.com/acuvity/mcp-servers-registry