IQMS / DELMIA Apriso

iqms-mcp

面向 Dassault Systèmes 制造 ERP 系统 IQMS / DELMIAworks（EnterpriseIQ）的 MCP 服务。

**状态：**读取工具通过 @wyre-technology/node-iqms 使用 Direct Oracle 路径执行查询（始终可用）。写入工具通过获得许可的 DELMIAworks WebAPI 模块路由——这是可选附加组件；在提供 X-IQMS-WebAPI-Base-URL 凭据之前，会抛出 DriverNotConfiguredError。

为何创建此项目

EnterpriseIQ 没有公开的 REST API。可行的集成路径有：

1. Direct Oracle（所有安装都通用）——只读查询
2. WebAPI 模块（付费许可附加组件）——事务性写入

此 MCP 服务通过一个由决策树导航的工具界面提供这两种路径。

工具

初始发现界面（始终可用）：

• iqms_navigate — 列出某个领域的工具
• iqms_status — 凭据／连接检查

领域：workorders、inventory、boms、sales_orders、purchase_orders、 schedule、quality。

读取工具（Oracle，始终可用）：

工具	用途
iqms_workorders_list	未完成／进行中的工单
iqms_workorders_get	完整工单详情，包括工艺路线
iqms_inventory_onhand	按物料／位置／批次查询现有库存
iqms_inventory_lot_trace	批次谱系追踪
iqms_boms_explode	展开 BOM
iqms_boms_where_used	反向查询使用位置
iqms_sales_orders_list	未完成销售订单／发货状态
iqms_purchase_orders_list	未完成采购订单／预期收货
iqms_schedule_capacity	机器排程与产能负载
iqms_quality_ncrs	不合格项／CAR／CAPA

写入工具（WebAPI，受限）：

工具	用途
iqms_workorders_create	创建新工单
iqms_workorders_post_production	登记生产数量／报废数量
iqms_inventory_adjust	库存事务
iqms_quality_create_ncr	创建不合格记录

运行模式

本地（stdio）

IQMS_ORACLE_USER=eiq_ro \
IQMS_ORACLE_PASSWORD=… \
IQMS_ORACLE_CONNECT_STRING=eiq-db.example.com:1521/EIQ \
npx -y github:WYRE-AI/iqms-mcp

网关（HTTP，无状态）

必须设置 CONDUIT_S2S_SECRET。如果它为空或是已知占位符（changeme、placeholder、your-s2s-secret，以及其他会在启动时被拒绝的示例值），HTTP 服务会记录错误并以非零状态码退出。服务绝不会打印密钥。仅在本地开发时设置 MCP_ALLOW_INSECURE_DEV=1，即可在未设置密钥的情况下启动；进程会记录警告，不会检查 X-Gateway-S2S，并且只绑定 127.0.0.1。在此模式下，非环回地址的 MCP_HTTP_HOST（包括 0.0.0.0）会被忽略，并记录该覆盖操作。占位符密钥仍会导致启动失败。

设置了 CONDUIT_S2S_SECRET 时，MCP_HTTP_HOST 会生效；未设置时，默认值为 0.0.0.0。未设置密钥时，监听地址为 127.0.0.1。容器镜像会设置 MCP_HTTP_HOST=0.0.0.0 和 AUTH_MODE=gateway。

CONDUIT_S2S_SECRET="$CONDUIT_S2S_SECRET" \
MCP_TRANSPORT=http \
MCP_HTTP_PORT=8080 \
AUTH_MODE=gateway \
node dist/http.js

不设置密钥的本地 HTTP 仅用于开发，并且始终绑定 127.0.0.1：

MCP_ALLOW_INSECURE_DEV=1 npm run start:http

X-Gateway-S2S

使用 MCP_TRANSPORT=http 且设置了有效的 CONDUIT_S2S_SECRET 时，每个 /mcp 请求都必须包含 X-Gateway-S2S：

t=<unix seconds>,v1=<hex hmac-sha256>

签名是对字面消息 t=<unix seconds>（与标头中出现的 t= 前缀相同）使用 CONDUIT_S2S_SECRET 作为密钥计算出的 HMAC-SHA256，并以十六进制编码。缺少标头或标头无效时会返回 401。/health 无需身份验证，也不会读取供应商凭据。stdio 传输不使用 CONDUIT_S2S_SECRET。

在 AUTH_MODE=gateway 模式下，/mcp 还要求提供下方的 Oracle 标头。这些标头是该请求唯一的凭据来源。缺少其中任意一个标头时会返回 401，且不会回退到进程环境中的 IQMS_* 变量。

标头	必填	说明
X-Gateway-S2S	是，当设置了 CONDUIT_S2S_SECRET 时	t=<unix seconds>,v1=<hmac-sha256 hex of t=...>
X-IQMS-Oracle-User	是	Oracle 数据库用户
X-IQMS-Oracle-Password	是	Oracle 数据库密码
X-IQMS-Oracle-Connect-String	是	Easy Connect 或 TNS
X-IQMS-WebAPI-Base-URL	否	提供全部三个 WebAPI 标头时启用写入工具
X-IQMS-WebAPI-User	否
X-IQMS-WebAPI-Password	否

单租户 HTTP（AUTH_MODE=env）

/mcp 仍要求有效的 X-Gateway-S2S 标头。供应商凭据来自 IQMS_ORACLE_USER、IQMS_ORACLE_PASSWORD 和 IQMS_ORACLE_CONNECT_STRING。可选的 IQMS_WEBAPI_* 变量可启用写入工具。此模式与 gateway Compose 服务相互独立，后者不会注入这些变量。

Docker

该镜像在容器内监听 0.0.0.0，默认使用 AUTH_MODE=gateway。请将端口发布到 loopback，并传入 S2S 密钥。在 gateway 模式下，IQMS 凭据会作为标头随每个请求传入；不会从环境中读取这些凭据。

docker build -t iqms-mcp .
docker run \
  -e CONDUIT_S2S_SECRET="$CONDUIT_S2S_SECRET" \
  -p 127.0.0.1:8080:8080 \
  iqms-mcp

未设置 CONDUIT_S2S_SECRET 时，Compose 会拒绝启动；它会设置 AUTH_MODE=gateway，发布 127.0.0.1:8080:8080，且不会注入静态 IQMS_* 凭据：

CONDUIT_S2S_SECRET="$CONDUIT_S2S_SECRET" docker compose up

许可证

Apache-2.0