MCP-Gateway

​

Was das MCP-Gateway leistet

• Ein Endpunkt, ein Key. Clients verbinden sich mit https://your-gateway/mcp über einen GoModel-API-Key. Sie halten nie Zugangsdaten für die Upstream-MCP-Server; das Gateway fügt die Header jedes Servers selbst ein.
• Aggregation mit Namespaces. Tools und Prompts aller konfigurierten Server erscheinen in einem gemeinsamen Katalog als {slug}_{name} (zum Beispiel github_create_issue), in einer stabilen, deterministischen Reihenfolge.
• Discovery nach dem Least-Privilege-Prinzip. Ein Server kann auf user_paths beschränkt und mit disallowed_user_paths für Teilbereiche ausgenommen werden; Aufrufer, für die er verborgen ist, erhalten nicht nur Fehler — die Tools erscheinen in ihrem tools/list überhaupt nicht. Filter auf Betreiberebene, allowed_tools / disallowed_tools, stutzen umfangreiche Server zurecht, was den Agent-Kontext klein hält.
• Observability. Jeder Tool-Aufruf wird zu einem Nutzungseintrag (Server, Tool, Dauer, Größen, Fehler-Flag, Labels, User-Path), und MCP-Requests erscheinen im Audit-Log und im Request-Log wie jeder andere Modell-Traffic — gekennzeichnet mit der JSON-RPC-Methode und bei Aufrufen mit dem Tool- oder Prompt-Namen, sodass eine tools/call-Zeile github_create_issue lautet und nicht nur einen Pfad zeigt. Mit LOGGING_LOG_BODIES=true werden die JSON-RPC-Request- und -Response-Frames ebenfalls im Audit-Eintrag erfasst (einschließlich Tool-Argumenten und -Ergebnissen), mit derselben Obergrenze von 1 MB wie bei anderen Endpunkten. Rate-Limits und Budgets pro User-Path gelten auch für MCP-Requests.

​

Einen Client verbinden

{
  "mcpServers": {
    "gomodel": {
      "type": "http",
      "url": "https://your-gateway/mcp",
      "headers": {
        "Authorization": "Bearer sk-your-gomodel-key"
      }
    }
  }
}

• /mcp — alles, was der User-Path des Keys sehen darf, mit Namespaces.
• /mcp/{slug} — ein einzelner Server mit seinen ursprünglichen Tool-Namen.
• /mcp/{name} — ein virtueller Server: eine benannte Teilmenge von Servern, mit Namespaces.
• Header X-MCP-Servers: github,jira — eine kommagetrennte Teilmenge auf /mcp.

​

Server zu virtuellen Servern gruppieren

mcp:
  virtual_servers:
    coding:
      description: Code review tools
      servers: [github, linear, sentry]
      tool_discovery: search # optional; Standard: mcp.tool_discovery

• Er schränkt nur ein. Jedes Mitglied behält seine user_paths und Tool-Filter; ein Key, der github nicht sehen kann, sieht ihn also auch über coding nicht. X-MCP-Servers schränkt einen virtuellen Server weiter ein.
• Namen teilen sich /mcp/{name} mit Server-Slugs. Der Start schlägt fehl, wenn ein virtueller Server in der Konfiguration nach einem Server in der Konfiguration benannt ist, und das Dashboard lehnt einen neuen Server oder virtuellen Server ab, dessen Name bereits von der jeweils anderen Art verwendet wird. Haben ein Server und ein virtueller Server dennoch denselben Namen (zum Beispiel, weil die Konfiguration nach einem Dashboard-Eintrag hinzugefügt wurde), behält der Server die URL, und der virtuelle Server wird nicht bereitgestellt; Log und Dashboard weisen darauf hin.
• Konfigurationseinträge haben Vorrang. Ein in der Konfiguration deklarierter virtueller Server verdeckt einen gleichnamigen aus dem Dashboard und ist im Dashboard schreibgeschützt.
• Fehlende Mitglieder werden übersprungen. Das Dashboard bietet nur vorhandene Server an, aber ein später gelöschtes Mitglied oder eines, das in der Konfiguration genannt wird, bevor es existiert, wird mit einer Warnung übersprungen und auf der Seite MCP Servers markiert.

​

Tools suchen statt auflisten

• search_tools nimmt Schlüsselwörter (oder einen exakten Tool-Namen) entgegen und gibt die passenden Tools mit ihren Beschreibungen und Input-Schemas zurück.
• call_tool führt ein gefundenes Tool über name mit seinen arguments aus.

mcp:
  tool_discovery: search # env: MCP_TOOL_DISCOVERY; Standard: off

{
  "mcpServers": {
    "gomodel": {
      "type": "http",
      "url": "https://your-gateway/mcp",
      "headers": {
        "Authorization": "Bearer sk-your-gomodel-key",
        "X-MCP-Tool-Discovery": "search"
      }
    }
  }
}

​

Server deklarieren

​

Einen Server über das Dashboard hinzufügen

• Name — für Menschen gedacht; Sie können ihn später umbenennen.
• Transport — http (Streamable HTTP, Standard) oder sse (Legacy).
• URL — der Upstream-MCP-Endpunkt.
• Headers — Upstream-Zugangsdaten (zum Beispiel Authorization: Bearer …); gespeicherte Werte werden danach geschwärzt angezeigt.
• Tools — aktivieren Sie die Tools, die Clients verwenden dürfen; siehe Festlegen, welche Tools ein Server bereitstellt.
• Optional user paths und excluded user paths unter Advanced; siehe Einschränken, wer einen Server sieht.

• Name ist für Menschen gedacht, akzeptiert Unicode und kann später bearbeitet werden.
• Slug wird standardmäßig aus dem Namen abgeleitet. Er besteht aus ASCII- Kleinbuchstaben, Ziffern, Bindestrichen und Unterstrichen und kann beim Erstellen des Servers angepasst werden. Nach dem Erstellen ist er unveränderlich, weil er in /mcp/{slug}, X-MCP-Servers und in den aggregierten Tool-Namen verwendet wird.

mcp:
  enabled: true # Standard; MCP_ENABLED=false deaktiviert die Endpunkte
  servers:
    github:
      url: https://api.githubcopilot.com/mcp
      headers:
        Authorization: "Bearer ${GITHUB_PAT}"
      user_paths: ["/engineering"] # optionaler Sichtbarkeitsbereich
      disallowed_user_paths: ["/engineering/contractors"] # Ausnahme; hat Vorrang vor user_paths
      disallowed_tools: ["delete_repo"]
    local-files:
      transport: stdio # nur deklarativ; siehe Sicherheitshinweise
      command: npx
      args: ["-y", "@modelcontextprotocol/server-filesystem", "/data"]

MCP_SERVERS='{"github":{"url":"https://api.githubcopilot.com/mcp","headers":{"Authorization":"Bearer ${GITHUB_PAT}"}}}'

​

stdio-Server mit Docker betreiben

services:
  mcp-files:
    image: supercorp/supergateway
    command:
      - --stdio
      - npx -y @modelcontextprotocol/server-filesystem /data
      - --outputTransport
      - streamableHttp
      - --port
      - "8000"
    volumes:
      - ./files:/data

  gomodel:
    image: enterpilot/gomodel
    ports: ["8080:8080"]
    environment:
      GOMODEL_MASTER_KEY: change-me
      MCP_SERVERS: '{"files":{"url":"http://mcp-files:8000/mcp"}}'
    depends_on: [mcp-files]

FROM node:22-slim
COPY --from=enterpilot/gomodel /gomodel /gomodel
COPY --from=enterpilot/gomodel /app /app
RUN chown -R node:node /app
USER node
WORKDIR /app
EXPOSE 8080
ENTRYPOINT ["/gomodel"]

​

Zustand und Lebenszyklus

​

Festlegen, welche Tools ein Server bereitstellt

mcp:
  servers:
    github:
      url: https://api.githubcopilot.com/mcp
      disallowed_tools: ["delete_repository", "merge_pull_request"]

​

Einschränken, wer einen Server sieht

​

Den Katalog eines Servers einsehen

​

Sicherheitshinweise

• Grenze für Zugangsdaten. Die MCP-Spezifikation verbietet das Durchreichen von Tokens; GoModel terminiert das Bearer-Token des Clients und fügt serverspezifische Zugangsdaten aus der Konfiguration ein. Client-Keys erreichen nie einen Upstream, und konfigurierte Upstream-Header werden bei Cross-Origin- Weiterleitungen nicht mitgesendet.
• Browser-Origins werden standardmäßig abgelehnt. MCP-Clients sind keine Webseiten; daher lehnt /mcp jeden Request mit Browser-Fetch-Metadaten (Origin oder Sec-Fetch-Site) ab, sofern er nicht von einem Origin stammt, der in mcp.allowed_origins (MCP_ALLOWED_ORIGINS) aufgeführt ist. Schreiben Sie Einträge so, wie ein Browser sie serialisiert — https://console.example.com, ohne abschließenden Schrägstrich, Standardports optional. Ein Origin auf der Allowlist erhält eine vollständige Session, einschließlich des GET-Benachrichtigungsstreams, den Browser ohne Origin-Header senden. Genau das blockiert browserbasiertes DNS Rebinding: Rebinding ändert nur, zu welcher Adresse ein Hostname aufgelöst wird; Origin und Host einer umgebundenen Seite stimmen also weiterhin überein, und der Browser meldet weiterhin Sec-Fetch-Site: same-origin — ein Vergleich beweist nichts, und nur eine explizite Allowlist unterscheidet Ihren Origin von dem eines Angreifers. Setzen Sie allowed_origins nur, wenn Sie einen MCP-Web-Client von einem bekannten Origin ausliefern; "*" vertraut jedem Origin, deaktiviert die Schutzmaßnahme und erzeugt beim Start eine Warnung.
• stdio ist nur deklarativ möglich. stdio-Server starten Subprozesse auf dem Gateway-Host und können daher nur in der config.yaml / MCP_SERVERS deklariert werden. Admin API und Dashboard lehnen sie ab — ein Dashboard-Login darf niemals gleichbedeutend mit Codeausführung auf dem Gateway sein.
• stdio-Subprozesse erhalten eine minimale Umgebung. Nur PATH, HOME, TMPDIR, USER und LANG werden vererbt — niemals die Provider-API-Keys oder der Master-Key des Gateways. Übergeben Sie alles Weitere explizit über die env:-Map des Servers (Werte unterstützen ${VAR}).
• Im Dashboard verwaltete Zugangsdaten liegen in der Gateway-Datenbank. Header von Servern, die über die Admin-Oberfläche erstellt wurden, werden im konfigurierten Storage-Backend gespeichert (sie werden nur auf API-/UI-Ebene geschwärzt). Wenn Ihr Bedrohungsmodell Secrets in der Datenbank ausschließt, deklarieren Sie diese Server stattdessen in der config.yaml / MCP_SERVERS — ${ENV}-Referenzen halten das Secret in der Umgebung, und deklarative Server berühren den Speicher nie.
• Remote-URLs sind serverseitiger ausgehender Traffic. Im Dashboard verwaltete HTTP/SSE-Server unterstützen bewusst private und Loopback-Endpunkte. Schützen Sie den Admin-Schreibzugriff und setzen Sie die Egress-Richtlinie Ihres Deployments durch, damit nicht vertrauenswürdige Betreiber das Gateway nicht nutzen können, um interne Dienste auszuspähen.
• Sessions sind keine Authentifizierung. Jeder Request wird per Bearer-Token authentifiziert, und eine Session ist zusätzlich an die Identität des verwalteten Auth-Keys, den User-Path und den festgelegten Endpunkt gebunden, die sie initialisiert haben; wer eine geleakte Session-ID unter einer anderen Identität verwendet, erhält 404.
• Geheime Header-Werte werden in der Admin API und im Dashboard geschwärzt (***) angezeigt; das Speichern eines Formulars mit *** behält das gespeicherte Secret bei.

​

Protokollabdeckung