feat(mcp): Ressourcen und Prompts fuer Claude Desktop, zwei Befunde behoben

MCP-ADAPTER 1.1

Werkzeuge ruft ein Modell von sich aus auf - Ressourcen und Prompts waehlt ein
MENSCH. In Claude Desktop sind das Anhang-Menue und Schraegstrich-Befehle, und
genau die fehlten.

  - Vier Ressourcen: dc://roadmap (fertiger Markdown-Block),
    dc://naechste-schritte, dc://projekte, dc://befunde.
  - Vier Prompts: arbeit-aufnehmen, befunde-sichten, fehler-melden,
    roadmap-pflegen. Ihr Wert liegt nicht in der gesparten Tipparbeit, sondern
    darin, dass die Hausregeln mitkommen - erst nachsehen wer dransitzt,
    Fremdmeldung nur mit Begruendung, Verworfenes nicht ohne neues Argument
    wiedervorschlagen. Bisher standen die nur in Werkzeugbeschreibungen, und
    die liest ein Modell erst, wenn es das Werkzeug schon gewaehlt hat.
  - DC_PROJECT: worauf die Ressourcen zeigen. Werkzeuge nehmen project_slug je
    Aufruf, Ressourcen haben keine Argumente.
  - Ressourcen laufen durch dieselbe Fremddaten-Abgrenzung wie
    Werkzeugergebnisse - sie sind eher ein Einfallstor, weil sie ungefragt im
    Kontext landen.
  - Einrichtung fuer claude_desktop_config.json dokumentiert.

  Behoben: "initialize" spiegelte die verlangte Protokollfassung zurueck. Ein
  Client, der 2025-06-18 anfragte, bekam sie bestaetigt, obwohl der Adapter
  fuer 2024-11-05 geschrieben war. Jetzt wird gegen eine Liste tatsaechlich
  bedienter Fassungen ausgehandelt.

  Behoben: process.exit() mitten in schliessenden libuv-Handles. Unter Windows
  eine Assertion und Rueckgabewert != 0 - ein sauber beendeter Server sah aus
  wie ein abgestuerzter.

ZWEI BEFUNDE, DIE ERST DIE RESSOURCEN ZUTAGE FOERDERTEN

  - roadmap.php?action=render lehnte fuer ein Werkbank-Token mit
    "missing_project" ab. projectFilter() laesst es beim Lesen bewusst durch
    (es soll die Landschaft sehen) und liefert null, also wurde der
    Projektbezug "all". Betroffen war ausgerechnet der Tokentyp, den der
    Adapter verlangt. Rueckfall ist jetzt das Heimatprojekt des Tokens.
  - ProjectLinks::between() benutzte :a dreimal, forProject() :slug zweimal.
    Bei ATTR_EMULATE_PREPARES = false unzulaessig -> HY093 und ein 500 auf
    /api/bugtracker/v1/projects. Derselbe Fehler wie einst in der
    Volltextsuche des Bugtrackers; ein Suchlauf ueber alle prepare()-Aufrufe
    der Codebasis fand keine weitere Stelle.

WARUM BEIDE UNBEMERKT BLIEBEN

Beide Wege laufen nur mit einem Werkbank-Token (owner_type = dev_agent). Der
Testlauf hatte keines - es gibt keine API, so eines anzulegen, und in der
Produktion geschieht das von Hand. Ein Tokentyp, den kein Testfall benutzt,
ist ein Tokentyp, dessen Sonderwege niemand prueft.

testctl.php kann jetzt action=workbench_token; vier Testfaelle decken die Wege
ab, samt Gegenprobe, dass der Rueckfall aufs Heimatprojekt das Lesen ueber alle
Projekte nicht einschraenkt. 128 Faelle, alle gruen.

Co-Authored-By: Claude Opus 5 <noreply@anthropic.com>

public/api/bugtracker/v1/roadmap.php

@@ -88,7 +88,7 @@ switch ($action) {
         ]);
 
     case 'render': {
-        $project = requireProject($scope);
+        $project = requireProject($scope, $context);
         Http::ok([
             'project_slug' => $project,
             'markdown'     => $roadmap->renderBlock($project),
@@ -100,7 +100,7 @@ switch ($action) {
         // dass der Server ihn liest: Die Datei liegt im Repository des
         // Projekts, oft auf einer anderen Maschine. Der Server kennt sie nicht
         // und soll auch nicht anfangen, in Verzeichnissen zu suchen.
-        $project = requireProject($scope);
+        $project = requireProject($scope, $context);
         $content = Http::str('content');
 
         if ($content === null) {
@@ -218,7 +218,7 @@ switch ($action) {
     }
 
     case 'reorder': {
-        $project = requireProject($writeProject ?? $requested);
+        $project = requireProject($writeProject ?? $requested, $context);
         $epic    = Http::str('epic');
         $ids     = Http::input('ids');
 
@@ -235,7 +235,7 @@ switch ($action) {
     }
 
     case 'epic': {
-        $project = requireProject($writeProject ?? $requested);
+        $project = requireProject($writeProject ?? $requested, $context);
         $epic    = Http::str('epic');
         $title   = Http::str('title');
 
@@ -260,14 +260,28 @@ switch ($action) {
  *
  * "all" ist beim Lesen sinnvoll und beim Schreiben oder Erzeugen nicht - eine
  * Datei gehoert zu genau einem Repository.
+ *
+ * Der Rueckfall auf das Heimatprojekt ist nicht Bequemlichkeit, sondern
+ * behebt einen Widerspruch: Beim Lesen laesst projectFilter() ein
+ * Werkbank-Token bewusst durch (es soll die Landschaft sehen), liefert also
+ * null - und damit wurde $scope zu "all". Ausgerechnet der Tokentyp, den der
+ * MCP-Adapter verlangt, konnte seine eigene Roadmap nicht rendern.
+ *
+ * Das Token ist trotzdem an ein Projekt gebunden; diese Bindung liefert
+ * homeProject(). "Meine Roadmap" ohne Angabe heisst genau das.
  */
-function requireProject(?string $slug): string
+function requireProject(?string $slug, array $context = []): string
 {
-    if ($slug === null || $slug === '' || $slug === 'all') {
-        Http::fail(400, 'missing_project', 'Diese Aktion braucht ein konkretes "project_slug".');
+    if ($slug !== null && $slug !== '' && $slug !== 'all') {
+        return $slug;
     }
 
-    return $slug;
+    $home = ApiAuth::homeProject($context);
+    if ($home !== null) {
+        return $home;
+    }
+
+    Http::fail(400, 'missing_project', 'Diese Aktion braucht ein konkretes "project_slug".');
 }
 
 /**

public/docs/changelog.json

@@ -64,6 +64,34 @@
           "title": "Testinstanz dc-dev.mhdf.de und ein Testtor vor jedem Produktiv-Upload",
           "text": "Eine vollstaendige zweite Installation, die jederzeit geloescht und neu aufgebaut werden darf: eigene Datenbank, eigene Schluessel, Basic-Auth davor, Rocket.Chat aus. Dazu 124 Testfaelle in tests/e2e gegen API, Rechte, Migrationen und die Zugangssperre. scripts/deploy.py bringt vor jedem Upload erst den anstehenden Stand auf die Testinstanz und laesst dann den Testlauf darauf laufen; erst bei Rueckgabewert 0 geht etwas auf die Produktion (--ohne-test ist der Notausgang). Die Reihenfolge ist der Punkt: Liefe der Test gegen den vorhandenen Dev-Stand, prueft er aelteren Code als den, der gleich hochgeht. Gefundene, noch offene Fehler stehen mit Item-Nummer in tests/e2e/bekannte_befunde.json - sie laufen als BEK mit und blockieren nicht; besteht so ein Fall wieder, sagt der Lauf das ausdruecklich. Ein Lauf, in dem mehr uebersprungen als geprueft wurde, endet mit Rueckgabewert 2 statt 0: nichts ist kaputt, geprueft wurde es aber auch nicht, und der Unterschied darf nicht am Rueckgabewert verschwinden. Anleitung: docs/TESTINSTANZ.md.",
           "action": "Wer deployt, braucht scripts/deploy_dev_config.json (Vorlage: ...example.json). Ohne sie bricht scripts/deploy.py ab und verweist auf --ohne-test."
+        },
+        {
+          "area": "mcp",
+          "breaking": false,
+          "title": "MCP-Adapter 1.1: Ressourcen, Prompts und eine echte Protokollaushandlung",
+          "text": "Werkzeuge ruft ein Modell von sich aus auf - Ressourcen und Prompts waehlt ein MENSCH. In Claude Desktop sind das das Anhang-Menue und die Schraegstrich-Befehle, und genau die fehlten. Neu: vier Ressourcen (dc://roadmap als fertiger Markdown-Block, dc://naechste-schritte, dc://projekte, dc://befunde) und vier Prompts (arbeit-aufnehmen, befunde-sichten, fehler-melden, roadmap-pflegen). Der Wert der Prompts liegt darin, dass die Hausregeln mitkommen: erst nachsehen wer dransitzt, Fremdmeldung nur mit Begruendung, verworfene Vorhaben nicht ohne neues Argument wiedervorschlagen. Bisher standen die nur in Werkzeugbeschreibungen - und die liest ein Modell erst, wenn es das Werkzeug schon gewaehlt hat. Ressourcen laufen durch dieselbe Fremddaten-Abgrenzung wie Werkzeugergebnisse; sie sind sogar eher ein Einfallstor, weil sie ungefragt im Kontext landen. BEHOBEN dabei: \"initialize\" spiegelte die vom Client verlangte Protokollfassung einfach zurueck. Ein Client, der 2025-06-18 anfragte, bekam sie bestaetigt, obwohl der Adapter fuer 2024-11-05 geschrieben war. Jetzt wird gegen eine Liste tatsaechlich bedienter Fassungen ausgehandelt. Ebenfalls behoben: Beim Beenden rief der Adapter process.exit() mitten in den schliessenden libuv-Handles - unter Windows eine Assertion und ein Rueckgabewert ungleich null, also ein sauber beendeter Server, der wie ein abgestuerzter aussah.",
+          "action": "Fuer Claude Desktop: Eintrag in claude_desktop_config.json (%APPDATA%\\Claude\\ bzw. ~/Library/Application Support/Claude/), absoluter Pfad, DC_PROJECT setzen, Desktop vollstaendig neu starten. Anleitung in mcp/README.md."
+        },
+        {
+          "area": "api",
+          "breaking": false,
+          "title": "Behoben: Werkbank-Token konnte seine eigene Roadmap nicht rendern",
+          "text": "roadmap.php?action=render und ?action=check verlangen ein konkretes Projekt. Beim Lesen laesst projectFilter() ein Werkbank-Token aber bewusst durch - es soll die ganze Landschaft sehen - und liefert deshalb null. Damit wurde der Projektbezug zu \"all\" und der Aufruf mit 400 missing_project abgelehnt. Betroffen war ausgerechnet der Tokentyp, den der MCP-Adapter und dc-testkit verlangen. Das Token ist trotzdem an ein Projekt gebunden; dieser Bezug dient jetzt als Rueckfall. \"Meine Roadmap\" ohne Angabe heisst genau das.",
+          "action": null
+        },
+        {
+          "area": "api",
+          "breaking": false,
+          "title": "Behoben: Projektliste warf 500 fuer Werkbank-Token (HY093)",
+          "text": "ProjectLinks::between() benutzte :a dreimal und :b zweimal im selben Statement, forProject() :slug zweimal. Bei ATTR_EMULATE_PREPARES = false ist das unzulaessig - PDO reicht die Namen an den Server durch, und der zaehlt Parameter, statt sie zu benennen. Ergebnis: SQLSTATE[HY093] und ein 500 auf /api/bugtracker/v1/projects. Die Abfrage laeuft nur, wenn ein Heimatprojekt gesetzt ist, also nur mit einem Werkbank-Token - fuer das Master-Token des Testlaufs wurde der Zweig uebersprungen. Derselbe Fehler steckte schon einmal in der Volltextsuche des Bugtrackers; ein Suchlauf ueber alle prepare()-Aufrufe der Codebasis fand jetzt keine weitere Stelle.",
+          "action": null
+        },
+        {
+          "area": "betrieb",
+          "breaking": false,
+          "title": "Testlauf kennt jetzt den Werkbank-Token - der Tokentyp, den die Agenten benutzen",
+          "text": "Es gibt keine API, ein dev_agent-Token anzulegen; in der Produktion geschieht das von Hand in der Token-Verwaltung, und das bleibt auch so. Fuer den Testlauf fehlte damit ausgerechnet der Tokentyp, den MCP-Adapter und dc-testkit verwenden - mit der Folge, dass seine Sonderwege niemand prueft. Genau dort steckten die beiden Befunde oben. testctl.php kann jetzt action=workbench_token, und vier Testfaelle decken die Wege ab: Roadmap ohne Projektangabe rendern, Projektliste mit Beziehungen, und die Gegenprobe, dass der Rueckfall aufs Heimatprojekt das Lesen ueber alle Projekte nicht einschraenkt. Der Testlauf steht damit bei 128 Faellen.",
+          "action": null
         }
       ]
     },