MCP SSH Manager 是一个基于模型上下文协议（Model Context Protocol，MCP）的服务器，使 Claude Code 与 OpenAI Codex 能够管理多个 SSH 连接。它提供 37 个工具，允许用户直接在 AI 助手中执行命令、传输文件、管理数据库、创建备份、监控健康状态，并自动化跨服务器的 DevOps 任务。
【主要能力】
- 远程 SSH 管理：执行命令、文件传输与 rsync、数据库转储与查询、备份、健康监控、隧道以及按服务器设置的安全模式。
- 37 个 MCP 工具，覆盖命令执行、文件上传/部署、数据库操作、备份调度、密钥管理、告警设置、进程管理等。
- 支持 Claude Code 与 OpenAI Codex 等 MCP 客户端。
【安全机制】 该工具将自身定位为“你交给 AI 代理的最危险工具”，因此安全设计是核心：
- 按服务器（per server）而非全局决定代理的权限范围。
- 安全模式：unrestricted（默认，无额外限制）；readonly（阻止变更类工具，如 ssh_upload、ssh_deploy、ssh_sync、ssh_execute_sudo、ssh_backup_*、ssh_db_import/dump，并对 ssh_execute 应用内置拒绝列表，如 rm、mv、dd、mkfs、chmod、chown、sudo、systemctl restart/stop、docker rm/stop、管道到 sh、重定向到 /tmp 之外、curl|sh 等）；restricted（每条命令必须匹配至少一个 ALLOW_PATTERNS 正则且不匹配任何 DENY_PATTERNS 正则，DENY 优先，无 ALLOW_PATTERNS 时全部拒绝，fail-closed）。
- 命令别名在策略评估之前展开，避免通过别名绕过 DENY 模式。
- 审计日志：可按服务器选择启用 JSONL 日志（SSH_SERVER_<N>_AUDIT_LOG=/path/to/audit.jsonl），记录时间戳、服务器、工具、参数、是否允许、拒绝原因、退出码/成功状态；敏感参数字段（password、passphrase、sudoPassword、token、secret、apikey）替换为 ***。
- sudo 密码通过 SSH 通道的 stdin 传输，不会出现在远程命令行、ps、/proc/<pid>/cmdline 或 auditd 记录中。
- 所有数据库参数通过集中式 shellQuote() 进行 shell 引号处理，并配有 648 种组合的注入测试。
- ssh_db_query 强制只读 SQL，拒绝非 SELECT 语句；查询通过单引号 heredoc 在 stdin 上传递，避免远程 shell 解析反引号或 $(…)。
- 主机密钥校验：主机密钥变更会被拒绝，与 OpenSSH 行为一致。
- 配置文件、别名、活动配置文件和日志存放于 ~/.ssh-manager/，仅用户本人可读，而非安装在包内部。
- 可复现安装：提交 lockfile，CI 使用 npm ci 安装，并有测试确保依赖解析到 registry.npmjs.org 且带完整性哈希、无未经审查的安装脚本。
【版本与安全修复】 资料列出了从 v3.4.0 到 v3.8.6 的发行说明，包含多项安全修复与功能更新：
- v3.8.6（2026年10月8日）：安全版本，修复六个安全公告。包括：默认 on-error hook 导致的命令注入（GHSA-759m-wfpq-xmx3）；restricted 模式仅检查行首（GHSA-rfxw-26h6-7w42）；cwd 未加引号进入 shell（GHSA-37fv-fcpc-j236）；ssh_db_query 可写（GHSA-9w6j-vg8f-hp8g、GHSA-q37w-vhpx-q5q9）；主机密钥从未比较（GHSA-cwg3-pfmm-w8rm）；ssh_deploy 与 ssh_backup_schedule 对所有值加引号，cron 调度必须是合法调度；钩子设置、别名、活动配置与日志移至 ~/.ssh-manager/。
- v3.8.4：日志不再明文写入密钥；每次提交运行 CodeQL。
- v3.8.2 / v3.8.3：修复 sudo 密码泄漏；加入官方 MCP Registry，发布带 SLSA 来源证明与 CycloneDX SBOM。
- v3.8.1：可复现安装与阻断性质量门禁。
- v3.8.0：配置中的分组（group）字段，ssh_sync 支持 Windows，修复隧道崩溃。
- v3.7.0：按服务器可选 SSH 代理转发（FORWARD_AGENT / forward_agent）。
- v3.6.7：修复数据库辅助工具中的命令注入。
- v3.6.6：修复 SUDO_PASSWORD / DEFAULT_DIR / ssh_sync 密钥认证。
- v3.6.5：ssh_db_query shell 注入安全修复及真实 row_count。
- v3.6.4：内部清理与死代码质量门禁。
- v3.6.3：ssh_sync 报告真实传输数量。
- v3.6.2：更丰富的工具描述（全部 37 个工具重写）。
- v3.6.1：清理模块级定时器不再固定事件循环。
- v3.6.0：实时配置热重载 + stdio 生命周期修复。
- v3.5.1：Windows/OpenSSH 上稳健的 SSH ping 健康检查。
- v3.5.0：按服务器安全模式 readonly / restricted + 审计日志。
- v3.4.1：兼容现代 OpenSSH 9.x。
- v3.4.0：支持 Windows OpenSSH + 与 shell 无关的会话同步。
- v3.3.0：ProxyCommand 等（资料在此截断）。
【使用方式】 资料未提供完整的安装命令或配置步骤，仅提到：配置可通过 .env 或 TOML 文件进行，支持交互式向导 ssh-manager server add，支持实时配置热重载（基于文件签名 path + mtime + size 的惰性重载，失败时保留最后一次有效配置，process.env 变量始终最高优先级）。工具以 MCP 服务器形式运行，供 Claude Code 与 OpenAI Codex 等 MCP 客户端调用。具体安装、配置与调用步骤暂未提供。
【适用场景】
- DevOps 自动化：跨服务器执行命令、部署、同步与备份。
- 数据库运维：转储、查询（只读）、导入、导出。
- 服务器健康监控与告警。
- 与第三方代理、CI 机器人或任何不应无条件信任 ssh_execute 的客户端共享 MCP 时，使用按服务器安全模式进行限制。
【限制与注意事项】
- 该工具赋予 AI 代理 SSH 访问权限，属于高风险工具，需谨慎配置安全模式与权限范围。
- 安全模式为按服务器选择性启用，不设置 MODE 字段时行为与 v3.4.x 相同（unrestricted）。
- restricted 模式无 ALLOW_PATTERNS 时全部拒绝（fail-closed）。
- 主机密钥变更后需执行一次 ssh-keygen -R <host>。
- 部分平台与 shell 相关修复表明在 Windows OpenSSH、自定义/慢速/AIX shell 等环境下曾有兼容性问题，v3.4.0 及后续版本已改进。
- 数据库查询在只读事务中运行，MongoDB 查询必须是过滤文档。
