tubemind-secure-mcp

tubemind-secure-mcp

由 Claude 驱动的 YouTube 智能分析。安全始于设计。
提供 18 个工具的 Model Context Protocol 服务，适用于 YouTube 研究、分析、对标和内容策略。

📦 18 个工具 · 🔐 OAuth2 + AES-256-GCM · 🛡️ OWASP Top 10 · 🤖 可直接用于 Claude Desktop

---

🎯 为什么选择 tubemind-secure-mcp？

将 Claude 变成 YouTube 增长策略专家——无需向它提供原始 OAuth 令牌。

• ⚡ 与 Claude Desktop 即插即用——添加一段配置，即可获得 18 个生产级工具。
• 🔐 默认安全——静态令牌加密（AES-256-GCM）、SSRF 防护、速率限制、审计日志、经 Zod 验证的输入。端到端映射至 OWASP Top 10。
• 📊 真实数据，而非抓取数据——使用官方 YouTube Data API v3 + YouTube Analytics API。支持 Brand Accounts。
• 🧠 超越原始 API——内置 CTR、留存率、关键词难度、内容缺口、开场角度和 N 天内容日历等启发式分析。
• 🪶 依赖极少——仅 3 个运行时依赖（@modelcontextprotocol/sdk、googleapis、zod）。Node ≥ 20。

---

✨ 概览

tubemind-secure-mcp 是一个 Model Context Protocol（MCP）服务，为 Claude Desktop（以及任何 MCP 客户端）提供 18 个生产级工具，用于 YouTube 相关工作：

• 🔍 搜索与 SEO——热门话题、关键词统计、标签建议
• 📺 视频与频道——列出视频、读取/更新元数据、获取标签
• 📊 分析——通过 YouTube Analytics API 获取频道分析数据（观看次数、观看时长、留存率）
• 🏆 对标——将你的频道与竞争对手进行比较
• 🧠 启发式分析——关键词难度、标题模式、内容缺口、开场角度、CTR 潜力、留存信号、内容日历
• 🕵️ 竞争对手研究——发现竞争对手的视频

以 安全始于设计 为原则构建：OAuth2（支持 Brand Account）、静态 AES-256-GCM 令牌加密、SSRF 防护、速率限制、审计日志、Zod 输入验证——并映射至 OWASP Top 10。

---

📦 安装

# Global install
npm install -g tubemind-secure-mcp

# Or run on demand
npx tubemind-secure-mcp

需要 Node.js ≥ 20。

---

🔐 OAuth 设置（一次性）

YouTube API 需要 OAuth2 令牌。此软件包附带一个身份验证服务，引导你完成设置。

1) 在 Google Cloud 中创建 OAuth 凭据

1. 前往 Google Cloud Console → API 和服务 → 凭据
2. 启用 YouTube Data API v3 和 YouTube Analytics API
3. 创建 OAuth 2.0 客户端 ID → Web 应用
4. 授权重定向 URI：http://localhost:4000/oauth/callback
5. 复制 客户端 ID 和 客户端密钥

2) 配置环境

将 .env.example 复制为 .env 并填写：

YOUTUBE_CLIENT_ID=your-client-id.apps.googleusercontent.com
YOUTUBE_CLIENT_SECRET=your-client-secret
YOUTUBE_REDIRECT_URI=http://localhost:4000/oauth/callback

# Generate with: openssl rand -hex 32
TOKEN_ENCRYPTION_KEY=your-64-char-hex-key

RATE_LIMIT_PER_MINUTE=60
REQUEST_TIMEOUT_MS=10000
AUDIT_LOG_PATH=./logs/audit.log
NODE_ENV=production

3) 运行 OAuth 流程

pnpm auth
# or: npx tsx --env-file=.env src/auth-server.ts

打开 http://localhost:4000，使用拥有该频道的 Google 账号登录（支持 Brand Accounts），完成授权后，加密令牌将保存到 ./tokens/youtube.token.json。

---

🤖 与 Claude Desktop 配合使用

添加到 claude_desktop_config.json：

macOS： ~/Library/Application Support/Claude/claude_desktop_config.json Windows： %APPDATA%\Claude\claude_desktop_config.json

{
  "mcpServers": {
    "tubemind": {
      "command": "npx",
      "args": ["-y", "tubemind-secure-mcp"],
      "env": {
        "YOUTUBE_CLIENT_ID": "your-client-id.apps.googleusercontent.com",
        "YOUTUBE_CLIENT_SECRET": "your-client-secret",
        "YOUTUBE_REDIRECT_URI": "http://localhost:4000/oauth/callback",
        "TOKEN_ENCRYPTION_KEY": "your-64-char-hex-key",
        "RATE_LIMIT_PER_MINUTE": "60",
        "REQUEST_TIMEOUT_MS": "10000",
        "AUDIT_LOG_PATH": "./logs/audit.log",
        "NODE_ENV": "production"
      }
    }
  }
}

重启 Claude Desktop。18 个工具将自动显示。

---

🛠️ 工具

类别	工具	描述
搜索	search_trending_topics	按地区／类别发现热门话题
	get_keyword_stats	关键词的搜索量信号
	suggest_tags	根据种子词推荐标签
视频	get_video_tags	读取视频标签
	update_video_metadata	更新标题／描述／标签（写入权限）
	list_channel_videos	分页列出频道上传的视频
分析	get_channel_analytics	观看次数、观看时长、留存率（Analytics API）
	score_best_publish_window	最佳发布日期／时段热力图
基准分析	benchmark_channel	将频道与同类频道进行比较
启发式分析	estimate_keyword_difficulty	难度评分 0–100
	analyze_title_patterns	热门视频中的常见模式
	detect_content_gaps	竞争对手覆盖而你尚未涉及的话题
启发式分析+	estimate_ctr_potential	根据标题／缩略图信号估算点击率
	suggest_hook_angles	为话题推荐吸引点切入角度
	find_trending_keywords	搜索热度上升的关键词
	analyze_retention_signals	影响留存率的因素
	generate_content_calendar	生成 N 天内容计划
竞争对手	get_competitor_videos	竞争对手频道的热门视频

所有输入均使用 Zod 验证。所有错误均返回安全消息（仅当 NODE_ENV=development 时显示堆栈跟踪）。

---

🔒 安全

tubemind-secure-mcp 默认采用安全配置。有关依据 OWASP Top 10 梳理的完整安全态势，请参阅 SECURITY.md。

控制措施	实现方式
A01 — 访问控制失效	OAuth2 最小权限范围，每次调用均记录审计日志
A02 — 加密机制失效	静态令牌使用 AES-256-GCM 加密，密钥仅通过环境变量提供
A03 — 注入	每个工具输入均使用 Zod 模式验证
A04 — 不安全设计	速率限制、请求超时、SSRF 防护（主机白名单）
A05 — 安全配置错误	.env.example 模板，不设置可能泄露信息的默认值
A07 — 身份验证失效	OAuth2 PKCE 风格流程、加密令牌存储
A08 — 软件和数据完整性失效	固定依赖版本、在 CI 中运行 pnpm audit、dependabot
A09 — 日志和监控失效	记录每次工具调用的审计日志（时间戳、工具、成功状态）
A10 — SSRF	出站调用仅限于 googleapis.com 系列域名

发现漏洞？ 请发送邮件至 [email protected] — 72 小时内响应。

---

🧰 本地开发

pnpm install
pnpm dev          # tsx watch on src/index.ts
pnpm build        # tsc → dist/
pnpm typecheck
pnpm test
pnpm audit:security

---

📜 许可证

MIT © Wanderson Leandro de Oliveira / Dewtech