gh-aw-mcpg — MCP Gateway for Sandboxed Agents

简介

gh-aw-mcpg 是一个 Docker 优先的 MCP 网关：把多个后端 MCP server 统一通过 HTTP 暴露出来，让沙盒环境里的 Agent 只通过一个入口调用工具，并可叠加策略与审计。

• 适合谁： 在容器/沙盒里跑 Agent、需要统一可审计 MCP 入口并加护栏的团队
• 可搭配： Docker、HTTP 传输的 MCP Client、容器化 stdio MCP Server
• 准备时间： 20 分钟

实战建议

• 一个 HTTP 入口可路由多个 MCP 后端（由配置文件驱动）
• Quick Start 默认使用 8000 端口，并挂载 /var/run/docker.sock 以拉起后端容器
• GitHub stars / forks（已核验）：见「来源与感谢」

当你的 Agent 环境受限（沙盒/容器）时，网关会变得很关键：

• Agent 不应该直接拥有访问所有工具/网络资源的权限；
• 你希望在一个统一入口上做策略（可读哪些 repo、可写到哪里）、日志与健康检查。

把它当作 “MCP 入口层” 来运维会更稳：

1. 所有工具访问都走网关（包括容器里的 stdio MCP）。
2. 配置文件进版本库，让改动可审查、可回滚。
3. API key 与后端凭据（例如 GitHub token）按 CI 的标准做最小权限与轮转。

如果你在用 GitHub Agentic Workflows，这个仓库就是为沙盒运行提供 MCP 访问层的。

FAQ

它具体做什么？ 答：把 MCP 请求通过 HTTP 代理/路由到多个后端 MCP server。

为什么 Quick Start 需要 Docker？ 答：网关会拉起容器化的 stdio server，因此需要挂载 Docker socket。

怎么做安全加固？ 答：使用 API key、收紧后端 token 权限，并把策略配置纳入审查流程。