使用说明
MBTA MCP服务器
与MBTA API通信以提供波士顿地区交通信息的MCP服务器。
该机器学习控制协议（MCP）服务器与马萨诸塞湾交通管理局（MBTA）API集成，为波士顿地区提供实时和计划的交通信息。它使AI助手能够通过标准化的界面访问MBTA数据。
特性
- 实时交通预测
- 服务警报和中断
- 路线和时间表信息
- 可访问性信息
- 旅行计划协助
- 基于位置的测站
安装
码头工人
docker pull ghcr.io/crdant/mbta-mcp-server:latest
docker run -e MBTA_API_KEY="your-api-key" ghcr.io/crdant/mbta-mcp-server:latest
转到安装
go install github.com/username/mbta-mcp-server@latest
配置
在环境中设置MBTA API密钥：
export MBTA_API_KEY="your-api-key"
用法
服务器实现了MCP stdio协议，供AI助手在本地使用。
有关更多详细信息，请参阅 规格.
供应链安全
容器图像签名
所有容器图像都使用Sigstore的Cosign进行无密钥签名。这允许用户验证容器映像是否由我们的GitHub Actions CI/CD管道构建。
签名安全实践
我们遵循容器映像签名的最佳实践：
我们只对图像摘要（内容哈希）进行签名 -这是最安全的方法，因为摘要是特定内容的唯一、不可变的标识符。通过仅对摘要进行签名，我们避免了可变标签可能引发的任何潜在安全问题，例如 latest.
验证容器映像
要验证我们的容器映像，请始终按摘要进行验证：
# Get the digest first (using any tag to lookup the image)
DIGEST=$(crane digest ghcr.io/crdant/mbta-mcp-server:1.2.3)
# Verify the image by digest
cosign verify \
--certificate-identity "https://github.com/crdant/mbta-mcp-server/.github/workflows/build.yml@refs/heads/main" \
--certificate-oidc-issuer "https://token.actions.githubusercontent.com" \
ghcr.io/crdant/mbta-mcp-server@$DIGEST
软件物料清单（SBOM）
每个构建都会生成一个全面的软件物料清单（SBOM），其中列出了容器映像中包含的所有组件。SBOM是：
- 在构建过程中生成
- 使用actions/certainsbom工具使用GitHub颁发的证书签名
- 每次构建时都可以作为GitHub Actions工件提供
- 附在集装箱图像上作为摘要证明
要验证SBOM认证：
# Get the digest first (most reliable approach)
DIGEST=$(crane digest ghcr.io/crdant/mbta-mcp-server:1.2.3)
# Verify the SBOM attestation by digest
cosign verify-attestation \
--certificate-identity "https://github.com/crdant/mbta-mcp-server/.github/workflows/build.yml@refs/heads/main" \
--certificate-oidc-issuer "https://token.actions.githubusercontent.com" \
--type spdx \
ghcr.io/crdant/mbta-mcp-server@$DIGEST
漏洞扫描
我们使用Trivy扫描容器映像以查找漏洞：
- 容器图像在构建后会自动扫描
- 结果以SARIF格式上传到GitHub Security
- 报告了严重和高严重性漏洞
- 扫描侧重于具有可用修复程序的漏洞
这些安全措施有助于确保我们的软件供应链从源代码到容器部署都是安全透明的。
