許可リストに書いた環境変数は誰の環境で展開されるのか — Managed MCP の実効ポリシーを指紋で確かめる

{
  "allowManagedMcpServersOnly": true,
  "env": { "TENANT": "acme", "TOOLS_DIR": "/opt/acme/bin" },
  "allowedMcpServers": [
    { "serverUrl": "https://mcp.${TENANT}.example.com/*" },
    { "serverUrl": "https://api.githubcopilot.com/*" },
    { "serverCommand": ["${TOOLS_DIR}/company-mcp", "--config", "/etc/company/mcp.json"] },
    { "serverCommand": ["${HOME}/bin/dev-mcp"] }
  ],
  "deniedMcpServers": [
    { "serverUrl": "https://*.${SANDBOX_DOMAIN}/*" },
    { "serverName": "dangerous-server" }
  ]
}

const urls = [
  "https://a.sandbox.example.com/mcp", "https://api.githubcopilot.com/mcp/",
  "https://mcp.acme.example.com/mcp", "https://mcp.attacker.test/mcp"
];
// 実装A: ドキュメントどおり末尾の FQDN ドットを無視する
// 実装B: 末尾ドットを正規化しない

#!/usr/bin/env node
// mcp-policy-preflight.mjs — 実効ポリシーを解決し、指紋を出して環境差を検出する
// 使い方: node mcp-policy-preflight.mjs <managed-settings.json> [--json]
import { readFileSync } from "node:fs";
import { createHash } from "node:crypto";
 
const REF = /\$\{([A-Za-z_][A-Za-z0-9_]*)(?::-([^}]*))?\}/g;
const [file, ...flags] = process.argv.slice(2);
if (!file) { console.error("usage: mcp-policy-preflight.mjs <managed-settings.json> [--json]"); process.exit(2); }
 
const cfg = JSON.parse(readFileSync(file, "utf8"));
const sources = [["startup", process.env], ["settings.env", cfg.env ?? {}]];
const findings = [];
 
function expandValue(raw, where) {
  return String(raw).replace(REF, (whole, name, dflt) => {
    const found = sources.find(([, m]) => m?.[name] !== undefined);
    if (found) {
      const value = String(found[1][name]);
      if (value === "") findings.push({ level: "error", code: "EMPTY", where, name, detail: `${found[0]} が空文字` });
      // 起動時環境と managed env の両方にあり値が違う場合は、環境しだいで意味が変わる
      const other = sources.find(([o, m]) => o !== found[0] && m?.[name] !== undefined);
      if (other && String(other[1][name]) !== value)
        findings.push({ level: "warn", code: "SHADOWED", where, name, detail: `${found[0]}="${value}" が ${other[0]}="${other[1][name]}" を隠している` });
      return value;
    }
    if (dflt !== undefined) { findings.push({ level: "info", code: "DEFAULTED", where, name, detail: `既定値 "${dflt}" を使用` }); return dflt; }
    findings.push({ level: "error", code: "UNRESOLVED", where, name, detail: "どの解決元にも存在しない" });
    return "";
  });
}
 
function resolveEntry(entry, where) {
  if (entry.serverUrl !== undefined) return { serverUrl: expandValue(entry.serverUrl, where) };
  if (entry.serverCommand !== undefined) return { serverCommand: entry.serverCommand.map(a => expandValue(a, where)) };
  return { ...entry };
}
 
const effective = {};
for (const key of ["allowedMcpServers", "deniedMcpServers"]) {
  if (!cfg[key]) continue;
  effective[key] = cfg[key].map((e, i) => {
    const where = `${key}[${i}]`;
    const resolved = resolveEntry(e, where);
    // 強制に使う項目が変数を含んでいたら、利用者が値を差し替えられる
    const raw = e.serverUrl ?? (e.serverCommand ? e.serverCommand.join(" ") : "");
    if (REF.test(raw)) { REF.lastIndex = 0;
      findings.push({ level: "warn", code: "USER_STEERABLE", where, name: "-", detail: "強制に使う項目が変数を含む（利用者の環境で意味が変わる）" }); }
    return resolved;
  });
}
 
// 指紋: 実効ポリシーを正規化してハッシュ化する。環境間で一致するかを比較できる
const canon = JSON.stringify(effective, (k, v) =>
  Array.isArray(v) && v.every(x => x && typeof x === "object")
    ? [...v].map(x => JSON.stringify(x)).sort() : v);
const fingerprint = createHash("sha256").update(canon).digest("hex").slice(0, 16);
 
const errors = findings.filter(f => f.level === "error");
if (flags.includes("--json")) {
  console.log(JSON.stringify({ fingerprint, findings, effective }, null, 2));
} else {
  console.log(`実効ポリシー指紋: ${fingerprint}`);
  for (const f of findings) console.log(`  [${f.level}] ${f.code} ${f.where} ${f.name} — ${f.detail}`);
  if (!findings.length) console.log("  所見なし");
}
process.exit(errors.length ? 1 : 0);

$ HOME=/root TENANT=acme TOOLS_DIR=/opt/acme/bin SANDBOX_DOMAIN=sandbox.example.com \
    node mcp-policy-preflight.mjs policy.json
実効ポリシー指紋: 8e135e9e5af52776
  [warn] USER_STEERABLE allowedMcpServers[0] - — 強制に使う項目が変数を含む（利用者の環境で意味が変わる）
  [warn] USER_STEERABLE allowedMcpServers[2] - — 強制に使う項目が変数を含む（利用者の環境で意味が変わる）
  [warn] USER_STEERABLE allowedMcpServers[3] - — 強制に使う項目が変数を含む（利用者の環境で意味が変わる）
  [warn] USER_STEERABLE deniedMcpServers[0] - — 強制に使う項目が変数を含む（利用者の環境で意味が変わる）
exit=0
 
$ env -u TENANT -u SANDBOX_DOMAIN HOME=/home/dev node mcp-policy-preflight.mjs policy.json
実効ポリシー指紋: 5a72a0ce0f10f8bc
  ...
  [error] UNRESOLVED deniedMcpServers[0] SANDBOX_DOMAIN — どの解決元にも存在しない
exit=1

// 差し替え箇所: resolveEntry と effective の組み立て
function resolveEntry(entry, where) {
  const out = {};
  for (const key of Object.keys(entry).sort()) {   // キーを落とさず、順序も固定する
    if (key === "serverUrl") out[key] = expandValue(entry[key], where);
    else if (key === "serverCommand") out[key] = entry[key].map(a => expandValue(a, where));
    else out[key] = entry[key];                    // serverName などをそのまま残す
  }
  return out;
}
 
const effective = {
  // 強制の有無そのものを指紋に含める。未設定と false は別物として扱う
  allowManagedMcpServersOnly: cfg.allowManagedMcpServersOnly ?? null,
  // 許可リストが無い（＝無制限）と、空配列（＝全拒否）も区別する
  allowedMcpServers: cfg.allowedMcpServers === undefined
    ? null
    : cfg.allowedMcpServers.map((e, i) => resolveEntry(e, `allowedMcpServers[${i}]`)),
  deniedMcpServers: (cfg.deniedMcpServers ?? [])
    .map((e, i) => resolveEntry(e, `deniedMcpServers[${i}]`)),
};