ServerFS
v0.24.2

面向 Linux · Windows · macOS Workdir 的安全 MCP

让 AI 访问服务器。让边界始终明确。

通过原生 stdio 或标准 Streamable HTTP 只开放你明确指定的 workdir。默认只读，并支持受控写入与有界二进制传输；API Key、OAuth 2.1、OpenAI Tunnel、文件入口、Agent 委托与 Agent Skills 都保持显式可选。v0.23.3 的独立门控 Deterministic Repo Ops 支持 Linux Host Bridge、已验证 Apple Silicon 原生 macOS 与已验证 Windows 11 x64 原生部署，不会回退到 Agent。

快速开始查看源码
无 Shell无法越界受控写入MIT 许可
受控数据路径
ChatGPTMCP 客户端
Secure MCP Tunnel仅出站连接
ServerFS MCPv0.24.2
文件系统限定 workdir
写入操作revision 保护
二进制 I/O有界 · 可选
REPO OPSv0.23.3 · Linux + 已验证 macOS + Windows
AGENT BRIDGE原生宿主机 · 可选
限定 Workdirs
/srv/projects默认只读
Agent Bridge
用户自有 socket
Codex Claude Qoder ACP
Linux：默认仅 loopback / 私有 HTTP 原生默认 stdio · HTTP 入口须主动启用

标准 MCP 接入

按需选择接入方式，始终保持同一策略边界。

根据宿主选择合适的传输与认证方式。ServerFS 将文件系统授权与入口方式分离，不因接入方式扩大权限。

stdio

原生本地

Windows / macOS 原生 MCP，不开放网络监听端口

Streamable HTTP

标准远程 MCP

默认仅 loopback；远程使用时在前方部署带认证的 TLS 入口

Static API Key

轻量认证

使用单个高熵密钥满足简单远程部署

OAuth 2.1

身份感知认证

面向正式远程部署的可选代理认证层

OpenAI Tunnel

可选 ChatGPT 入口

经过认证的出站 Tunnel；不再作为通用 MCP 默认入口

Cloudflare Tunnel

Linux + macOS + Windows 稳定版

Linux v0.24.0、Apple Silicon v0.24.1、Windows v0.24.2

HTTP 配置 API Key OAuth 2.1

渐进式能力

从最小能力开始，按需扩展。

ServerFS 的能力通过显式 opt-in 逐层增加；每一层都范围受限、独立门控，并直接体现在工具契约中。

1101

文件系统

安全读取 + 受控写入能力面

1302

+ 二进制

有界的整文件传输

1503

+ Repo Ops

v0.23.3 · Linux + 已验证 macOS + Windows

2104

+ Agent

原生 Agent 委派 + 模型发现

2705

v0.24.0 完整

二进制 + Agent + Repo Ops

三种部署形态

同一套能力契约，各自遵循平台原生边界。

MCP 能力模型保持一致，但部署方式、文件系统约束、传输与生命周期管理遵循各自操作系统，而不是把所有主机都抽象成 Linux。

DOCKER 原生服务器部署

用容器定义外层边界。

Linux 是面向服务器的部署形态：通过 Docker Compose 支持 amd64 与 arm64，默认采用标准 Streamable HTTP，并可按需叠加认证、文件入口、Host Bridge（Agent 委托与 v0.23 Repo Ops）、OpenAI Tunnel 或 Linux v0.24 的 Cloudflare Tunnel。

Linux 部署指南
原生执行路径Linux
01入口
Streamable HTTP

带认证的 TLS 边界 · 可选 OpenAI Tunnel

02运行时
ServerFS 容器

策略约束的 MCP 能力面 · 无 Shell

03边界
Bind mount Workdir

仅能看到显式配置的路径

04HOST BRIDGE
可选宿主机能力

Agent 委托与 v0.23 Repo Ops 保持在容器外

为什么采用这种形态
容器就是外层边界

Compose 将运行时与文件系统挂载显式化，增加能力时不会悄悄扩大宿主机访问范围。

天然面向远程服务

Linux 是服务器形态：HTTP 是一等入口，而认证与 Tunnel 仍是相互独立的可选叠加层。

linux · serverfs
$ docker compose pull
$ docker compose -f compose.yml -f compose.http.yml up -d serverfs-mcp

APPLE 原生用户级部署

使用原生 Darwin 语义，由当前用户管理。

macOS 形态运行于 Apple M 系列、原生 arm64 与本地 APFS Workdir。ServerFS 使用 descriptor-relative Darwin 文件系统原语，并通过 Apple SMAppService 管理持久的用户级 Tunnel 与 Agent Bridge 生命周期。

macOS 原生部署指南
原生执行路径macOS
01生命周期
SMAppService

当前用户持久化 · 无 LaunchDaemon

02传输
原生 stdio

不开放 MCP 网络监听端口

03文件系统
Darwin FD backend

Descriptor-relative 遍历 · 符号链接 fail closed

04Workdir
本地 APFS

TCC 与当前用户权限继续生效

为什么采用这种形态
由当前用户拥有

持久化采用 Apple 的用户级 ServiceManagement 模型，而不是 root daemon 或手工安装的 LaunchAgent。

遵循 Darwin 原生约束

ServerFS 使用 Darwin 文件描述符语义，并且不会绕过 macOS 的隐私与 TCC 控制。

macos · serverfs
$ serverfs doctor --config serverfs.toml
$ serverfs service install --config serverfs.toml --env-file .env

WINDOWS 原生用户级部署

使用原生 NTFS 语义，无需管理员权限。

Windows 形态原生运行于 Windows 11 x64 与本地 NTFS。HANDLE-relative Rust 内核负责文件系统约束；当前用户 Task Scheduler watchdog 负责持久生命周期，不依赖 SCM、LocalSystem 或 UAC 提权。

Windows 原生部署指南
原生执行路径Windows
01生命周期
Task Scheduler

当前用户 watchdog · 最小权限

02传输
原生 stdio

不开放 MCP 网络监听端口

03文件系统
Rust NTFS kernel

HANDLE-relative 遍历 · 拒绝 reparse point

04Workdir
本地 NTFS

不支持网络共享 · 无需提权

为什么采用这种形态
没有管理员路径

安装、运行、恢复与卸载都保持当前用户权限：不用 SCM、LocalSystem，也不保存账户密码。

真实的 Windows 原生边界

预编译 abi3 内核直接执行 NTFS 专用约束，而不是把 POSIX 文件系统语义硬套到 Windows 上。

windows · serverfs
$ serverfs doctor --config serverfs.toml
$ serverfs service install --config serverfs.toml --env-file .env

架构

提供能力，而不是环境权限。

每一层只做一件事。所有可选能力都显式启用、范围受限，并由独立策略门控。

01
MCP 宿主Claude Code · Codex · Qoder · ChatGPT · harness
受控
02
入口stdio · Streamable HTTP · 可选 OpenAI / Cloudflare Tunnel
受控
03
ServerFS MCP Core策略、路径约束、revision 与审计
受控
04
部署边界Linux Docker · Windows/macOS 原生 stdio
受控
05
限定 Workdirs除非显式放开，否则保持只读
受控

构造即安全

安全由接口形态决定。

ServerFS 不依赖单一 sandbox 或单一网络假设。文件系统策略、传输校验、部署隔离和 Agent 边界相互加固。

最小能力。显式边界。无环境权限。

01

默认只读

02

无 Shell 或通用执行器

03

Workdir 边界约束

04

基于 revision 的写入保护

05

无递归删除

06

Host / Origin 传输校验

07

默认不公开绑定 MCP

08

Agent Bridge 按需启用

可选 AGENT BRIDGE

原生 Agent 留在宿主机。

可选 Agent Bridge 通过平台原生本地 IPC 与生命周期集成，将结构化任务委托给 Codex、Claude、Qoder 原生 runtime，以及运维人员配置的通用 ACP v1 profile；每个 profile 固定绝对可执行文件与 argv。OpenCode 2.1.2 使用 opencode/glm-5.3-flash-free 已通过 Linux、macOS、Windows 真实端到端验收，覆盖 prompt、持久 session continuation 和 active-tool cancellation/cleanup。ACP 不支持模型发现/覆盖、elicitation、client filesystem 和 terminal；能力保持保守报告。Windows v0.14.0 使用当前用户 Task Scheduler、无窗口 watchdog 与分层恢复的持久生命周期；macOS v0.13.2+ 使用 Apple SMAppService 管理持久的用户级生命周期。Provider 默认配置保持原生；单次任务模型覆盖必须显式指定，可选 Jev Advisors 可在提交前提供建议，但不会获得执行权。

了解 Agent Bridge ACP 指南 了解 Jev Advisors
MCP 容器ServerFS
bridge.sock
宿主机用户服务Agent Bridge
Codex Claude Qoder ACP
Jev仅提供建议
策略决定
serverfs · 快速开始
$ git clone https://github.com/NTLx/ServerFS_MCP.git
$ cd ServerFS_MCP
$ cp .env.example .env
$ docker compose pull
$ docker compose -f compose.yml -f compose.http.yml up -d serverfs-mcp
$ docker compose -f compose.yml -f compose.http.yml ps

✓ serverfs-mcp      healthy
✓ http://127.0.0.1:8000/mcp

自托管

一个受控服务。
你的机器，你的策略。

Linux 从标准 Streamable HTTP 开始，按需增加能力。OpenAI Tunnel 仍可用于 ChatGPT；v0.24.0 Cloudflare Tunnel 正式提供可选 Linux Docker 入口，并独立要求 API Key/OAuth 认证。文件入口、v0.23 Repo Ops、Agent 委托、Agent Skills 与 Jev 仍然显式 opt-in。

阅读部署指南

可移植 AGENT SKILLS

让运维知识随项目一起交付。

已发布的 v0.24.2 包含 7 个面向任务的 Agent Skills 与一个仅包含 Skills 的 Plugin。在既有 Tunnel Skill 中提供 Linux Cloudflare 接入分支，仍保持 7 个 Skills，并与 HTTP 认证边界分离。

了解 Agent Skills

SERVERFS MCP

让 AI 理解你的服务器。
让边界始终清晰。

阅读文档GitHub