Autotuesday Kb

שרת MCP שכל שותף מריץ במחשב שלו. הוא רק צינור: מתחבר פעם אחת עם הזהות של השותף, ונושא את הזהות הזו (JWT) ל-Supabase בכל קריאה. ההחלטה מי רואה מה נעשית ב-Supabase (RLS), לא כאן. באג בקובץ הזה לא יכול לדלוף דאטה פרטי של מישהו אחר — מסד הנתונים עצמו מסנן.

חלק ממסלול 08 (מערכת ניהול ידע ארגונית). אפיון: chief-of-staff/.../tracks/08-knowledge-system/SPEC.md.

התקנה

cd autotuesday-kb-mcp
npm install
npm run build

חיבור (per partner)

השרת מתחבר כשותף כדי שה-RLS ידע מי הוא, ושומר session מקומי (~/.autotuesday-kb-session.json, chmod 600) שמתחדש אוטומטית — מתחברים פעם אחת.

א. מייל + סיסמה (✅ מומלץ — session עצמאי, לא מתנגש עם הדפדפן):

AT_KB_SUPABASE_URL=https://vgvaqputxdmaavawsown.supabase.co
AT_KB_SUPABASE_ANON_KEY=sb_publishable__bWyTWREnxyirDXJf8faFA_Tyzxz9ER
AT_KB_EMAIL=<המייל שלך בפורטל>
AT_KB_PASSWORD=<הסיסמה שלך>

ב. Refresh token (bootstrap חד-פעמי / בדיקה בלבד):

AT_KB_SUPABASE_URL=...
AT_KB_SUPABASE_ANON_KEY=...
AT_KB_REFRESH_TOKEN=<token מדף "חבר את המחשב" בפורטל>

⚠️ ה-refresh token של הדפדפן מתחלף בכל שימוש (rotation) → מתאים רק ל-bootstrap/בדיקה, לא לטווח ארוך. לעבודה שוטפת — מייל+סיסמה (א), שיוצר session עצמאי. דף ה-onboarding: app.autotuesday.com/me/desktop.

רישום ב-Claude Code (~/.claude/settings.json)

{
  "mcpServers": {
    "autotuesday-kb": {
      "command": "node",
      "args": ["/absolute/path/to/autotuesday-kb-mcp/dist/index.js"],
      "env": {
        "AT_KB_SUPABASE_URL": "https://vgvaqputxdmaavawsown.supabase.co",
        "AT_KB_SUPABASE_ANON_KEY": "sb_publishable__bWyTWREnxyirDXJf8faFA_Tyzxz9ER",
        "AT_KB_EMAIL": "[email protected]",
        "AT_KB_PASSWORD": "..."
      }
    }
  }
}

Tools

kb sync — מראה מקומית (cache)

node kb-sync.mjs מושך את כל מה שמותר לך לראות (RLS) ל-~/autotuesday-kb/ — מראה מקומית של המאגר. Supabase = מקור האמת; התיקייה הזו = cache לקריאה. משתמש חוזר ב-session של ה-MCP (אין התחברות נוספת). מומלץ להריץ בתחילת עבודה כדי להיות מסונכרן. env אופציונלי: AT_KB_CACHE_DIR (ברירת מחדל ~/autotuesday-kb).

כתיבה/עדכון → דרך כלי ה-MCP (kb_write), לא עריכת קבצי ה-cache ידנית.

עקרון אבטחה

כל הכלים רצים דרך client מאומת כשותף. RLS ב-Supabase אוכף org/workspace/private פר-שורה. השרת לא מחליט הרשאות — רק מעביר את הזהות. זה מה ש-production-build-standard דורש: אבטחה בשכבת הדאטה, לא בקוד.