MCPサーバ実装

.github/workflows/e2e-test.yml

@@ -227,6 +227,149 @@ jobs:
           name: playwright-${{ matrix.suite }}-logs
           path: var/log/
 
+  ## MCP の Playwright E2E。 トークン発行 UI → Bearer で /admin/mcp にツール呼び出し、 の経路を通す。
+  ## MCP は Api44 (OAuth2 / scope / firewall) 前提のため、 メインの playwright マトリクスとは別に、
+  ## Api44 を導入した専用環境で mcp.spec.ts を実走する (Api44 導入手順は unit-test.yml の mcp ジョブと同じ)。
+  ## 環境は既存 playwright ジョブと同じ混成 (.env=e2e / スキーマ・fixtures・Api44 導入は --env=dev)。
+  ## ブラウザ経由の admin ログインが通る実績のある構成に合わせる。
+  mcp:
+    name: Playwright (mcp)
+    runs-on: ubuntu-24.04
+    steps:
+      - name: Checkout
+        uses: actions/checkout@df4cb1c069e1874edd31b4311f1884172cec0e10  # v6
+
+      ## MCP の scope 認可と /admin/mcp 用 OAuth2 firewall は Api44 の feat/mcp-server-scorp に実装されており、
+      ## eccube-api4 の 4.4 にはまだ無い。 当該ブランチが 4.4 にマージされたら ref を '4.4' に戻すこと。
+      - name: Checkout Api44 plugin
+        uses: actions/checkout@df4cb1c069e1874edd31b4311f1884172cec0e10  # v6
+        with:
+          repository: 'EC-CUBE/eccube-api4'
+          ref: 'feat/mcp-server-scorp'
+          path: 'eccube-api4'
+
+      - name: Setup PostgreSQL
+        uses: ankane/setup-postgres@6d3ffa1aa7498a42b79e9f9f5838b99971839300  # v1
+        with:
+          postgres-version: '16'
+          user: postgres
+      - name: Configure PostgreSQL
+        run: |
+          for _ in $(seq 1 30); do pg_isready -h 127.0.0.1 && break; sleep 1; done
+          pg_isready -h 127.0.0.1 || { echo 'PostgreSQL did not become ready within 30s'; exit 1; }
+          psql -h 127.0.0.1 -U postgres -c "ALTER USER postgres PASSWORD 'password'"
+
+      - name: Setup PHP
+        uses: shivammathur/setup-php@7c071dfe9dc99bdf297fa79cb49ea005b9fcadbc  # v2
+        with:
+          php-version: '8.3'
+          github-token: ''
+          extensions: :xdebug, redis
+
+      - name: Setup Node.js
+        uses: actions/setup-node@48b55a011bda9f5d6aeb4c2d9c7362e8dae4041e  # v4
+        with:
+          node-version: 20
+
+      - name: Initialize Composer
+        uses: ./.github/actions/composer
+
+      - name: Generate ECCUBE_AUTH_MAGIC
+        run: echo "ECCUBE_AUTH_MAGIC=$(openssl rand -hex 32)" >> "$GITHUB_ENV"
+
+      - name: Build Sass and JavaScript
+        run: |
+          npm ci
+          npm run build
+
+      - name: Setup mock-package-api
+        run: |
+          ( cd eccube-api4 && tar cvzf "$GITHUB_WORKSPACE/Api44.tar.gz" ./* )
+          mkdir -p /tmp/repos
+          cp "$GITHUB_WORKSPACE/Api44.tar.gz" /tmp/repos/Api44.tgz
+          docker run --name package-api -d -v /tmp/repos:/repos -e MOCK_REPO_DIR=/repos -p 8080:8080 eccube/mock-package-api:composer2
+
+      # 既存 playwright ジョブと同じ混成: .env は e2e、 スキーマ/fixtures/Api44 導入は
+      # --env=dev で流す (ブラウザ経由 admin ログインが通る実績のある構成)。
+      - name: Setup EC-CUBE
+        env:
+          APP_ENV: 'e2e'
+          DATABASE_URL: postgres://postgres:password@127.0.0.1:5432/eccube_db
+          DATABASE_SERVER_VERSION: 16
+          ECCUBE_AUTH_MAGIC: ${{ env.ECCUBE_AUTH_MAGIC }}
+        run: |
+          echo "APP_ENV=${APP_ENV}" > .env
+          echo "TRUSTED_HOSTS=127.0.0.1,localhost" >> .env
+          echo "ECCUBE_AUTH_MAGIC=${ECCUBE_AUTH_MAGIC}" >> .env
+          bin/console doctrine:database:create --env=dev
+          bin/console doctrine:schema:create --env=dev
+          bin/console eccube:fixtures:load --env=dev
+
+      - name: Install Api44
+        env:
+          APP_ENV: 'dev'
+          DATABASE_URL: postgres://postgres:password@127.0.0.1:5432/eccube_db
+          DATABASE_SERVER_VERSION: 16
+          ECCUBE_PACKAGE_API_URL: 'http://127.0.0.1:8080'
+          USE_SELFSIGNED_SSL_CERTIFICATE: '1'
+        run: |
+          bin/console doctrine:query:sql "update dtb_base_info set authentication_key='dummy'" --env=dev
+          bin/console eccube:composer:require ec-cube/api44 --env=dev
+          bin/console eccube:plugin:enable --code=Api44 --env=dev
+          bin/console doctrine:schema:update --force --dump-sql --env=dev
+          bin/console cache:clear --no-warmup --env=dev
+          chmod 600 app/PluginData/Api44/oauth/private.key
+
+      - name: Install Playwright dependencies
+        working-directory: e2e
+        run: npm ci
+
+      - name: Install Playwright browsers
+        working-directory: e2e
+        run: npx playwright install --with-deps chromium
+
+      - name: Start PHP Development Server
+        env:
+          APP_ENV: 'e2e'
+          DATABASE_URL: postgres://postgres:password@127.0.0.1:5432/eccube_db
+          DATABASE_SERVER_VERSION: 16
+          ECCUBE_PACKAGE_API_URL: 'http://127.0.0.1:8080'
+          ECCUBE_AUTH_MAGIC: ${{ env.ECCUBE_AUTH_MAGIC }}
+        run: php -S 127.0.0.1:8000 codeception/router.php &
+
+      - name: Run Playwright tests
+        working-directory: e2e
+        env:
+          BASE_URL: 'http://127.0.0.1:8000'
+          DATABASE_URL: postgres://postgres:password@127.0.0.1:5432/eccube_db
+          ECCUBE_ADMIN_ROUTE: 'admin'
+          ADMIN_USER: 'admin'
+          ADMIN_PASSWORD: 'password'
+          APP_ENV: 'e2e'
+          CI: 'true'
+        run: npx playwright test --project=setup --project=mcp-tests mcp.spec.ts
+
+      - name: Upload Playwright report
+        if: failure()
+        uses: actions/upload-artifact@043fb46d1a93c77aae656e7c1c64a875d1fc6a0a  # v7
+        with:
+          name: playwright-mcp-report
+          path: e2e/playwright-report/
+
+      - name: Upload ScreenShots
+        if: failure()
+        uses: actions/upload-artifact@043fb46d1a93c77aae656e7c1c64a875d1fc6a0a  # v7
+        with:
+          name: playwright-mcp-results
+          path: e2e/test-results/
+
+      - name: Upload logs
+        if: failure()
+        uses: actions/upload-artifact@043fb46d1a93c77aae656e7c1c64a875d1fc6a0a  # v7
+        with:
+          name: playwright-mcp-logs
+          path: var/log/
+
   ## Web インストーラは「EC-CUBE が未インストールであること」が前提のため、
   ## playwright ジョブ (.env を作成し schema:create 済み) とは同居できず別ジョブにする。
   ## playwright ジョブとの違い:

.github/workflows/unit-test.yml

@@ -138,7 +138,7 @@ jobs:
           timeout_minutes: 10
           max_attempts: 2
           retry_on: error
-          command: vendor/bin/phpunit --exclude-group cache-clear --exclude-group cache-clear-install --exclude-group update-schema-doctrine --exclude-group plugin-service
+          command: vendor/bin/phpunit --exclude-group cache-clear --exclude-group cache-clear-install --exclude-group update-schema-doctrine --exclude-group plugin-service --exclude-group mcp
         env:
           APP_ENV: 'test'
           DATABASE_URL: ${{ matrix.database_url }}
@@ -195,3 +195,97 @@ jobs:
           echo "session.save_path=$PWD/var/sessions/test" > php.ini
           echo "memory_limit=512M" >> php.ini
           php -c php.ini vendor/bin/phpunit --group plugin-service
+
+  ## MCP は Api44 (OAuth2 / scope / allow_list) が前提のため、 メインのマトリクスからは
+  ## --exclude-group mcp で外し、 ここで Api44 を導入した専用環境で --group mcp を実走する。
+  ## Api44 は packagist 非公開のため、 eccube-api4 を checkout → mock-package-api で配信して
+  ## eccube:composer:require する (Api44 自身の CI と同じ方式)。
+  mcp:
+    name: PHPUnit (mcp)
+    runs-on: ubuntu-24.04
+    steps:
+      - name: Checkout
+        uses: actions/checkout@df4cb1c069e1874edd31b4311f1884172cec0e10  # v6
+
+      ## MCP の scope 認可と /admin/mcp 用 OAuth2 firewall は Api44 の feat/mcp-server-scorp に実装されており、
+      ## eccube-api4 の 4.4 にはまだ無い (このブランチに無いと firewall が prepend されず /admin/mcp が
+      ## ログインへ 302 リダイレクトし、 McpFirewallContractTest 等が 401/200 を得られず失敗する)。
+      ## 当該ブランチが 4.4 にマージされたら ref を '4.4' に戻すこと。
+      - name: Checkout Api44 plugin
+        uses: actions/checkout@df4cb1c069e1874edd31b4311f1884172cec0e10  # v6
+        with:
+          repository: 'EC-CUBE/eccube-api4'
+          ref: 'feat/mcp-server-scorp'
+          path: 'eccube-api4'
+
+      - name: Setup PostgreSQL
+        uses: ankane/setup-postgres@6d3ffa1aa7498a42b79e9f9f5838b99971839300  # v1
+        with:
+          postgres-version: '16'
+          user: postgres
+      - name: Configure PostgreSQL
+        run: |
+          for _ in $(seq 1 30); do pg_isready -h 127.0.0.1 && break; sleep 1; done
+          pg_isready -h 127.0.0.1 || { echo 'PostgreSQL did not become ready within 30s'; exit 1; }
+          psql -h 127.0.0.1 -U postgres -c "ALTER USER postgres PASSWORD 'password'"
+
+      - name: Setup PHP
+        uses: shivammathur/setup-php@7c071dfe9dc99bdf297fa79cb49ea005b9fcadbc  # v2
+        with:
+          php-version: '8.3'
+          github-token: ''
+          extensions: :xdebug, redis
+      - name: Initialize Composer
+        uses: ./.github/actions/composer
+
+      - name: Generate ECCUBE_AUTH_MAGIC
+        run: echo "ECCUBE_AUTH_MAGIC=$(openssl rand -hex 32)" >> $GITHUB_ENV
+
+      - name: Setup mock-package-api
+        run: |
+          # eccube-api4 自身の CI と同じ形式で固める (.git/.github 等の dotfiles を除外し ./* で固める)。
+          # .git を含めると composer の dist 展開が失敗する (Install of ec-cube/api44 failed)。
+          ( cd eccube-api4 && tar cvzf "$GITHUB_WORKSPACE/Api44.tar.gz" ./* )
+          mkdir -p /tmp/repos
+          cp "$GITHUB_WORKSPACE/Api44.tar.gz" /tmp/repos/Api44.tgz
+          docker run --name package-api -d -v /tmp/repos:/repos -e MOCK_REPO_DIR=/repos -p 8080:8080 eccube/mock-package-api:composer2
+
+      - name: Setup EC-CUBE
+        env:
+          APP_ENV: 'test'
+          DATABASE_URL: postgres://postgres:password@127.0.0.1:5432/eccube_db
+          DATABASE_SERVER_VERSION: 16
+          DATABASE_CHARSET: utf8
+          ECCUBE_AUTH_MAGIC: ${{ env.ECCUBE_AUTH_MAGIC }}
+        run: |
+          bin/console doctrine:database:create
+          bin/console doctrine:schema:create
+          bin/console eccube:fixtures:load
+
+      - name: Install Api44
+        env:
+          APP_ENV: 'test'
+          DATABASE_URL: postgres://postgres:password@127.0.0.1:5432/eccube_db
+          DATABASE_SERVER_VERSION: 16
+          DATABASE_CHARSET: utf8
+          ECCUBE_PACKAGE_API_URL: 'http://127.0.0.1:8080'
+          USE_SELFSIGNED_SSL_CERTIFICATE: '1'
+        run: |
+          bin/console doctrine:query:sql "update dtb_base_info set authentication_key='dummy'"
+          bin/console eccube:composer:require ec-cube/api44
+          bin/console eccube:plugin:enable --code=Api44
+          bin/console doctrine:schema:update --force --dump-sql
+          bin/console cache:clear --no-warmup
+          chmod 600 app/PluginData/Api44/oauth/private.key
+
+      - name: PHPUnit (mcp)
+        env:
+          APP_ENV: 'test'
+          DATABASE_URL: postgres://postgres:password@127.0.0.1:5432/eccube_db
+          DATABASE_SERVER_VERSION: 16
+          DATABASE_CHARSET: utf8
+          MAILER_URL: 'smtp://127.0.0.11025'
+        run: |
+          echo "session.save_path=$PWD/var/sessions/test" > php.ini
+          echo "memory_limit=512M" >> php.ini
+          php -c php.ini vendor/bin/phpunit --group mcp

app/config/eccube/bundles.php

@@ -27,4 +27,5 @@
     DAMA\DoctrineTestBundle\DAMADoctrineTestBundle::class => ['test' => true],
     Twig\Extra\TwigExtraBundle\TwigExtraBundle::class => ['all' => true],
     Eccube\EccubeBundle::class => ['all' => true],
+    Symfony\AI\McpBundle\McpBundle::class => ['all' => true],
 ];

app/config/eccube/packages/dev/monolog.yml

@@ -6,7 +6,8 @@ monolog:
             level: debug
             formatter: eccube.log.formatter.line
             max_files: 10
-            channels: ['!cookie_consent']
+            # mcp は専用ハンドラ (mcp)、 cookie_consent は専用ハンドラに出すため main(site.log) から除外する
+            channels: ['!mcp', '!cookie_consent']
         # Cookie consent: 同意操作の証跡を info レベルで専用ファイルへ直接出力する。
         cookie_consent:
             type: rotating_file

app/config/eccube/packages/e2e/monolog.yml

@@ -6,7 +6,8 @@ monolog:
             level: debug
             formatter: eccube.log.formatter.line
             max_files: 10
-            channels: ['!cookie_consent']
+            # mcp は専用ハンドラ (mcp)、 cookie_consent は専用ハンドラに出すため main(site.log) から除外する
+            channels: ['!cookie_consent', '!mcp']
         # Cookie consent: 同意操作の証跡を info レベルで専用ファイルへ直接出力する。
         cookie_consent:
             type: rotating_file

app/config/eccube/packages/http_discovery.yaml

@@ -0,0 +1,10 @@
+services:
+    Psr\Http\Message\RequestFactoryInterface: '@http_discovery.psr17_factory'
+    Psr\Http\Message\ResponseFactoryInterface: '@http_discovery.psr17_factory'
+    Psr\Http\Message\ServerRequestFactoryInterface: '@http_discovery.psr17_factory'
+    Psr\Http\Message\StreamFactoryInterface: '@http_discovery.psr17_factory'
+    Psr\Http\Message\UploadedFileFactoryInterface: '@http_discovery.psr17_factory'
+    Psr\Http\Message\UriFactoryInterface: '@http_discovery.psr17_factory'
+
+    http_discovery.psr17_factory:
+        class: Http\Discovery\Psr17Factory

app/config/eccube/packages/mcp.yaml

@@ -0,0 +1,11 @@
+mcp:
+    app: 'EC-CUBE MCP Server'
+    version: '4.4.0'
+    description: 'EC-CUBE 4.4 の管理データ (商品/在庫・注文・顧客会員・プラグイン管理) を AI クライアントから自然言語で参照する読み取り専用 MCP サーバ。 認証認可は API プラグイン (api44) の OAuth2 / scope に委譲する。'
+    client_transports:
+        http: true
+        stdio: true
+    http:
+        path: '/%eccube_admin_route%/mcp'
+        session:
+            store: file

app/config/eccube/packages/mcp_rate_limiter.yaml

@@ -0,0 +1,19 @@
+# MCP サーバの Rate Limiter 設定 (設計 §5「Rate Limiter 連携」)。
+#
+# 2 段構成:
+#   - mcp_ip:     リモート IP 単位の制限 (firewall 前で消費、 認証エラー連発攻撃にも効く)
+#   - mcp_client: OAuth2 client_id 単位の制限 (firewall 通過後の OAuth2Token から client_id を取得して消費)
+#
+# 既定値は PoC レベルの控えめな値。 GA 運用開始時に再評価する。
+framework:
+    rate_limiter:
+        mcp_ip:
+            policy: fixed_window
+            limit: 60
+            interval: '1 minute'
+            cache_pool: rate_limiter.cache
+        mcp_client:
+            policy: fixed_window
+            limit: 300
+            interval: '1 minute'
+            cache_pool: rate_limiter.cache

app/config/eccube/packages/monolog.yml

@@ -1,2 +1,14 @@
 monolog:
-    channels: ['front', 'admin', 'cookie_consent']
+    channels: ['front', 'admin', 'mcp', 'cookie_consent']
+    handlers:
+        # MCP 監査ログ: PII を含み得るため site.log と分離した専用ファイルに、 1 レコード 1 JSON で出力する。
+        # fingers_crossed を挟まず info から常時書き出す (監査記録は error 連動で握り潰してはならない)。
+        # 保管日数は ECCUBE_MCP_LOG_RETENTION_DAYS (既定 90)。 ファイルは所有者/グループのみ読める権限にする。
+        mcp:
+            type: rotating_file
+            path: '%kernel.logs_dir%/%kernel.environment%/mcp.log'
+            channels: ['mcp']
+            level: info
+            formatter: eccube.mcp.log.formatter.json
+            max_files: '%env(int:ECCUBE_MCP_LOG_RETENTION_DAYS)%'
+            file_permission: 0640

app/config/eccube/packages/prod/monolog.yml

@@ -8,7 +8,8 @@ monolog:
             handler: main_rotating_file
             excluded_http_codes: [404, 405]
             buffer_size: 50
-            channels: ['!doctrine', '!event', '!php', '!cookie_consent']
+            # mcp / cookie_consent は専用ハンドラに出すため main(site.log) からは除外する
+            channels: ['!doctrine', '!event', '!php', '!mcp', '!cookie_consent']
         main_rotating_file:
             type: rotating_file
             max_files: 60

app/config/eccube/routes.yaml

@@ -4,6 +4,9 @@ controllers:
 customize_controllers:
     resource: ../../../app/Customize/Controller
     type: attribute
+mcp:
+    resource: .
+    type: mcp
 
 #    prefix: /{_locale}
     # prefix: /