Workday

@mindstone/mcp-server-workday

面向 Model Context Protocol 宿主的 Workday HCM MCP 服务。通过使用 OAuth 2.0 身份验证的标准 MCP 接口，在 Workday 中查询员工、个人资料、直属下属、组织、地点、职位、休假和职位申请。

状态

• 版本： 0.3.2 · npm
• 身份验证： OAuth (WORKDAY_REFRESH_TOKEN)
• 工具： 9（员工、组织、休假、招聘、地点、职位）
• 接口： 云 API
• 机器可读： STATUS.json

要求

• Node.js 20+
• npm

一键安装

点击按钮后，宿主会提示你填写：WORKDAY_HOST、WORKDAY_TENANT、WORKDAY_CLIENT_ID、WORKDAY_CLIENT_SECRET、WORKDAY_REFRESH_TOKEN。

{
  "mcpServers": {
    "Workday": {
      "command": "npx",
      "args": [
        "-y",
        "@mindstone/mcp-server-workday"
      ],
      "env": {
        "WORKDAY_HOST": "",
        "WORKDAY_TENANT": "",
        "WORKDAY_CLIENT_ID": "",
        "WORKDAY_CLIENT_SECRET": "",
        "WORKDAY_REFRESH_TOKEN": ""
      }
    }
  }
}

快速开始

安装和构建

cd <path-to-repo>/connectors/workday
npm install
npm run build

npx（发布后使用）

npx -y @mindstone/mcp-server-workday

本地

node dist/index.js

配置

环境变量

• WORKDAY_HOST — Workday API 主机（例如 wd5-impl-services1.workday.com）
• WORKDAY_TENANT — Workday 租户 ID
• WORKDAY_CLIENT_ID — OAuth 2.0 客户端 ID
• WORKDAY_CLIENT_SECRET — OAuth 2.0 客户端密钥
• WORKDAY_REFRESH_TOKEN — 可选的 OAuth 2.0 刷新令牌（启用 refresh_token 授权；未提供时使用 client_credentials 授权）
• WORKDAY_RECRUITING_API_VERSION — 可选，用于覆盖招聘 REST 系列版本（默认值为 v41.2；Workday 根据平台版本为此 API 设定版本，因此使用其他版本的租户可能需要使用例如 v42.1）
• MCP_HOST_BRIDGE_STATE — 可选的宿主桥接状态文件路径，用于凭据管理
• MINDSTONE_REBEL_BRIDGE_STATE — MCP_HOST_BRIDGE_STATE 的向后兼容别名

宿主配置示例

Claude Desktop / Cursor

{
  "mcpServers": {
    "Workday": {
      "command": "npx",
      "args": ["-y", "@mindstone/mcp-server-workday"],
      "env": {
        "WORKDAY_HOST": "wd5-impl-services1.workday.com",
        "WORKDAY_TENANT": "your-tenant",
        "WORKDAY_CLIENT_ID": "your-client-id",
        "WORKDAY_CLIENT_SECRET": "your-client-secret",
        "WORKDAY_REFRESH_TOKEN": "your-refresh-token"
      }
    }
  }
}

本地开发（无需发布 npm 包）

{
  "mcpServers": {
    "Workday": {
      "command": "node",
      "args": ["<path-to-repo>/connectors/workday/dist/index.js"],
      "env": {
        "WORKDAY_HOST": "wd5-impl-services1.workday.com",
        "WORKDAY_TENANT": "your-tenant",
        "WORKDAY_CLIENT_ID": "your-client-id",
        "WORKDAY_CLIENT_SECRET": "your-client-secret",
        "WORKDAY_REFRESH_TOKEN": "your-refresh-token"
      }
    }
  }
}

工具（9 个）

配置

• configure_workday_credentials — 配置 Workday OAuth API 凭据

员工

• list_workday_workers — 列出或搜索员工（雇员和非雇员）
• get_workday_worker — 根据 ID 获取员工的完整档案
• list_workday_direct_reports — 列出员工的直属下属（组织架构中的一级）

组织

• list_workday_organizations — 列出组织（部门、主管组织、成本中心）
• list_workday_locations — 列出工作地点（办公室、站点）

休假

• list_workday_time_off — 列出员工的休假记录（要求 ISU 具有 Absence Management 域访问权限）

招聘

• list_workday_job_requisitions — 列出职位申请 / 空缺职位（要求具有 Recruiting 域访问权限；如果你的租户返回 404，请参阅 WORKDAY_RECRUITING_API_VERSION）

工作

• list_workday_jobs — 列出员工的工作分配（职位、职称、地点、组织）

说明

• 搜索在客户端进行。 Workday 的 /workers 集合文档仅说明了 limit/offset，因此 list_workday_workers 的 search 参数会遍历员工并在本地筛选（按姓名、电子邮件、职称进行不区分大小写的匹配），最多扫描 1000 名员工。对于规模较大的租户，请使用具体的搜索词。
• 字段白名单。 每个工具都会将 Workday 的响应裁剪为白名单字段（并对嵌套引用进行深层提取，仅保留 ID + 名称），因此休假备注、职位申请说明和街道地址等自由文本字段不会传递给模型。
• 不可信内容封装。 Workday 返回的每个白名单字符串（姓名、职称、电子邮件、状态、日期——包括以意外形状传来的值）都会封装在 <untrusted-content source="workday"> 中，让模型将其视为数据而非指令；供应商格式子对象中的键也会进行封装。id 和 href 保持原样，以便传递给后续工具调用。
• 严格分页。 limit 必须是 1–100 的整数，offset 必须是非负整数；超出范围或带小数的值会被拒绝，而不会静默截断。worker_id 参数不得为空白。
• 错误信息有长度限制，且不跟随重定向。 API 和令牌错误会返回由连接器生成的消息（绝不返回原始供应商错误正文）；HTTP 重定向会被拒绝而非跟随，因此凭据不会被重放到重定向目标。配置的主机名会经过验证，以排除环回地址和私有网段（包括非规范 IP 写法和 IPv6 格式），并会在发送凭据前通过 DNS 重新解析。
• ISU 安全域。 Workday 会通过 Integration System User 域权限限制对每类 REST 接口的访问；如果 list_workday_time_off、list_workday_job_requisitions 或 list_workday_jobs 返回 403，说明 ISU 的安全组需要相应的域权限（Absence Management、Recruiting、Payroll）。

许可证

FSL-1.1-MIT — Functional Source License，Version 1.1，未来将采用 MIT 许可证。该软件将于 2030-04-08 转为 MIT 许可证。