خادم MCP في أودو 20: ربط Claude Code وCodex ووكلاء الذكاء الاصطناعي الخارجيين

يتضمن أودو 20 خادم MCP يتيح لعملاء الذكاء الاصطناعي الخارجيين المتوافقين التعامل مع قاعدة بيانات أودو من خلال أدوات خاضعة للضبط.

وتتضمن وثائق أودو الرسمية الحالية أمثلة إعداد لعملاء منهم Claude Code وCodex. وتعتمد المصادقة على مفتاح API من أودو، وتتكوّن نقطة نهاية MCP بإضافة /mcp إلى عنوان قاعدة البيانات.

والنقطة المعمارية المهمة هنا أن MCP ليس مفتاحًا عامًّا يمنح "الذكاء الاصطناعي صلاحية الوصول إلى قاعدة البيانات".

فالعميل لا يستطيع استخدام إلا القدرات التي يتيحها أودو، وضمن صلاحيات مستخدم أودو الذي تمت مصادقته.

ما هو MCP

بروتوكول سياق النموذج (Model Context Protocol) معيار لإتاحة الأدوات والسياق لعملاء الذكاء الاصطناعي المتوافقين.

وفي حالة أودو، يكون المسار المبسّط كالتالي:

AI client
   ↓ MCP
Odoo /mcp
   ↓
Exposed tools / server actions
   ↓
Odoo models and business logic

وبهذا يصبح أودو مزوّدًا للأدوات في بيئة ذكاء اصطناعي خارجية.

المصادقة

توثّق أودو المصادقة عبر مفتاح API لخادم MCP.

تعامل مع مفتاح API كما تتعامل مع كلمة المرور:

• لا تُدرجه أبدًا في Git؛
• لا تُظهره في لقطات الشاشة؛
• استخدم متغيرات البيئة أو أداة لإدارة الأسرار؛
• غيّره متى اشتبهت في تسرّبه؛
• استخدم مستخدم أودو مخصصًا بأدنى الصلاحيات اللازمة حين يكون ذلك مناسبًا.

فصلاحيات المستخدم الذي تمت مصادقته جزء من نموذج الأمان.

ربط Claude Code

تتضمن وثائق MCP الحالية في أودو مثالًا لإعداد Claude Code.

استخدم الأمر أو الإعداد الدقيق الوارد في الوثائق الرسمية الحالية بدلًا من النسخ من مقال قديم، لأن صيغة العميل قد تتغير.

ومن حيث المبدأ، ستُعدّ ما يلي:

• نقطة نهاية MCP في أودو؛
• مفتاح API الخاص بأودو؛
• عميل MCP المتوافق.

ثم اختبر أولًا طلبًا آمنًا للقراءة فقط.

ربط Codex

تتضمن وثائق أودو الحالية كذلك إعداد Codex.

ومرة أخرى، اعتمد صيغة العميل الرسمية الحالية.

وابدأ بسير عمل قائم على القراءة، مثل استكشاف النماذج والحقول المسموح بها أو البحث في سجلات تجريبية، قبل إتاحة أدوات تغيّر بيانات الأعمال.

الأدوات الافتراضية والأدوات المخصصة

يتيح أودو مجموعة محدودة من الأدوات الافتراضية.

ويمكن إتاحة إجراءات خادم إضافية بتفعيل خيار Available in MCP.

وهذه نقطة تحكّم قوية.

فبدلًا من منح الوكيل الخارجي عملية عامة من نوع "اكتب أي شيء"، أتِح أدوات مصممة لغرض محدد، مثل:

• البحث في السجلات المعتمدة؛
• إنشاء نشاط متابعة؛
• إعداد مسودة ملاحظة؛
• إرجاع تقرير خاضع للضبط؛
• تشغيل سير عمل تم التحقق منه.

أداة القراءة فقط (Readonly Tool)

توثّق أودو تصنيف Readonly Tool للأدوات التي لا تكتب السجلات ولا تعدّلها.

استخدم هذا التصنيف بدقة.

فالأداة الموسومة للقراءة فقط يجب ألا تُحدث آثارًا جانبية خفية.

وأدوات القراءة فقط نقطة بداية جيدة لأنها تحدّ من نطاق الضرر المحتمل بينما تقيّم سلوك الوكيل.

صمّم الأدوات حول عمليات الأعمال

أداة سيئة:

arbitrary_model_write(model, ids, values)

أداة أفضل:

schedule_sales_followup(opportunity_id, due_date, note)

فالعملية الثانية لها معنى تجاري يمكن التحقق منه.

وداخل الأداة، احرص على فرض:

• النموذج المسموح به؛
• الحقول المسموح بها؛
• الحالة المطلوبة؛
• صلاحيات المستخدم؛
• سياق الشركة؛
• التحقق من صحة البيانات؛
• سجل التدقيق.

الذكاء الاصطناعي يختار إجراءً مسموحًا به، وتبقى الأداة مسؤولة عن صحة التنفيذ.

MCP مقابل JSON-2

استخدم MCP حين يحتاج عميل ذكاء اصطناعي إلى تفسير مهمة واختيار أدوات معتمدة.

واستخدم JSON-2 حين يحتاج تطبيق آخر إلى استدعاءات API حتمية.

مثال على MCP:

"ابحث عن الفرص البيعية عالية القيمة التي أُهملت، وجهّز إجراءات المتابعة لها."

مثال على JSON-2:

"أنشئ طلبًا في أودو من بيانات التجارة الإلكترونية هذه التي تم التحقق منها."

لا تستبدل شيفرة تكامل حتمية موثوقة بنموذج لغوي كبير (LLM) لمجرد أن MCP متاح.

قائمة التحقق الأمنية

قبل إتاحة MCP:

• أنشئ قاعدة بيانات اختبار مخصصة؛
• استخدم مستخدمين بأدنى الصلاحيات؛
• ابدأ بالقراءة فقط؛
• اجرد كل أداة متاحة؛
• راجع طريقة تنفيذ كل أداة؛
• تحقّق من قواعد الشركة والوصول؛
• احمِ مفاتيح API؛
• تجنّب أدوات الكتابة العامة الواسعة؛
• اختبر الطلبات غير المصرّح بها؛
• اختبر الأوامر الغامضة؛
• اشترط موافقة بشرية على العمليات عالية الأثر؛
• راقب الإجراءات المهمة ودقّقها.

إثبات مفهوم آمن

1. أنشئ قاعدة بيانات أودو 20 غير إنتاجية.
2. أنشئ مستخدمًا تجريبيًا محدود الصلاحيات.
3. أنشئ مفتاح API.
4. أعدّ عميل الذكاء الاصطناعي المدعوم باستخدام الصيغة الرسمية الحالية.
5. اتصل بـ /mcp.
6. اختبر استكشاف النماذج والحقول.
7. اختبر عملية بحث.
8. أضف أداة واحدة للقراءة فقط مصممة لغرض محدد.
9. قيّم الأوامر المتوقعة والأوامر العدائية.
10. وبعد ذلك فقط، فكّر في أداة كتابة مقيّدة.

أخطاء شائعة

• استخدام مفتاح API لمسؤول النظام من باب السهولة.
• إتاحة عمليات كتابة عامة.
• افتراض أن MCP يتجاوز تصميم ضوابط الوصول المعتاد.
• وضع التحقق من قواعد الأعمال في الأمر النصي فقط.
• منح الوكيل أدوات كثيرة دفعة واحدة.
• التعامل مع "Readonly Tool" على أنه مجرد تسمية لا التزام سلوكي.
• استخدام MCP في تكاملات حتمية ينبغي أن تبقى استدعاءات API عادية.

إعداد MCP في أودو 20 بدقة

تجعل وثائق أودو الحالية خطوات الإعداد واضحة ومحددة.

أنشئ مفتاح API بنطاق MCP

من My Preferences → Security (تفضيلاتي ← الأمان)، أنشئ مفتاح API واختر نطاق MCP (MCP scope). وتتيح لك أودو أيضًا تحديد مدة لانتهاء صلاحيته. ولا يُعرض المفتاح إلا مرة واحدة، فاحفظه في مكان آمن.

نقطة نهاية MCP

استخدم عنوان قاعدة البيانات مضافًا إليه /mcp:

https://your-database.example.com/mcp

Claude Code

توثّق أودو حاليًا هذا النمط:

claude mcp add --transport stdio <server_name> -- \
  npx -y mcp-remote <database_url>/mcp \
  --header "Authorization: Bearer <API_KEY>"

وتحقّق من الاتصال بالأمر:

claude mcp list

Codex

تقدّم وثائق أودو الحالية ما يلي:

codex mcp add <server_name> -- \
  npx -y mcp-remote <database_url>/mcp \
  --header "Authorization: Bearer <API_KEY>"

شغّل Codex واستخدم /mcp لفحص الخادم. وتحقّق من صيغة العميل مقارنةً بالوثائق الحالية قبل بيئة الإنتاج، لأن واجهات سطر الأوامر الخاصة بالعملاء قد تتغير.

أدوات MCP الافتراضية في أودو 20

تذكر الوثائق الحالية الأدوات التالية بوصفها الأدوات المتاحة افتراضيًا:

• AI Tool: Get Fields
• AI Tool: Get Models
• AI Tool: MCP Retrieve initial context
• AI Tool: Search
• AI Tool: Read group

وتبقى إجراءات الخادم الأخرى مخفية إلى أن يُفعَّل خيار Available in MCP (متاح في MCP).

ما المعنى الحقيقي لـ Readonly Tool

تقول أودو إن Readonly Tool (أداة القراءة فقط) لا يُخفي الأداة، بل يُعلم العميل بأن الأداة لا تكتب البيانات القائمة ولا تعدّلها، وأنه يجوز استدعاؤها تلقائيًا دون موافقة المستخدم.

فلا تَسِم أداة بأنها للقراءة فقط إلا إذا كان تنفيذها خاليًا فعلًا من أي آثار جانبية للكتابة.

استكشاف أعطال MCP وإصلاحها

العميل لا يستطيع الاتصال

تحقّق من /mcp، ومن المفتاح ذي نطاق MCP، ومن تاريخ انتهاء صلاحيته، ومن إمكانية الوصول إلى قاعدة البيانات، ومن متطلبات Node.js وnpx في إعداد العميل البعيد الموثَّق.

الأداة لا تظهر

تحقّق من خيار Available in MCP، وأعد الاتصال أو حدّث قائمة الأدوات المخزّنة مؤقتًا لدى العميل، وتأكّد من تثبيت التطبيق أو الأداة المعنية.

خطأ في الصلاحيات

يصادق مفتاح API على هوية مستخدم في أودو وعلى صلاحياته. فراجع قوائم التحكم في الوصول (ACL) وقواعد السجلات وسياق الشركة.

اختيار الأداة الخطأ

اجعل أسماء الأدوات وأوصافها متمايزة ونطاقاتها ضيقة. فتشابه الأدوات الواسعة يصعّب الاختيار بينها.

نموذج الأمان في MCP

ضع نموذجًا للتهديدات يشمل حقن الموجّهات، والصلاحيات المفرطة للمستخدمين، وكشف الأسرار، والإجراءات التي لا يمكن التراجع عنها، وأدوات الكتابة العامة.

وفي العمليات عالية الأثر، يُفضَّل هذا التسلسل: الذكاء الاصطناعي يقترح ← أداة مُتحقَّق منها تفحص ← الإنسان يوافق حيث يلزم ← أودو ينفّذ.

مثال على تصميم أداة MCP

لنفترض أن إدارة المبيعات تريد عميل ذكاء اصطناعي خارجيًا يساعد في التعامل مع الفرص البيعية المهملة.

تجنّب إتاحة أداة كتابة عامة.

وبدلًا من ذلك، عرّف عملية خاضعة للضبط تكون من حيث المفهوم على هذا النحو:

schedule_followup(
    opportunity_id,
    due_date,
    note
)

وينبغي أن يتحقق التنفيذ في جانب أودو من أن:

• الفرصة البيعية موجودة؛
• المستخدم المصادَق عليه يحق له الوصول إليها؛
• سياق الشركة صالح؛
• تاريخ الاستحقاق مسموح به؛
• الملاحظة تستوفي القيود المتوقعة؛
• العملية لا تنشئ إلا النشاط المقصود.

يستطيع النموذج أن يقرر متى تكون الأداة مناسبة، أما شيفرة أودو فتقرر ما إذا كانت العملية المطلوبة صالحة.

ضع نموذجًا للتهديدات في اتصال MCP

خذ في الحسبان ما يلي:

حقن الموجّهات (Prompt Injection)

قد يحاول نص غير موثوق في سجل أو وثيقة التلاعب بالوكيل. وينبغي أن تبقى الأدوات مقيّدة حتى لو تلقّى النموذج تعليمات خبيثة.

الصلاحيات المفرطة

مستخدم أودو ذو الصلاحيات الواسعة يحوّل كل أداة متاحة إلى قدرة أعلى أثرًا.

الالتباس بين الأدوات

قد تدفع الأدوات المتشابهة النموذج إلى اختيار العملية الخطأ. فاجعل الأسماء والأوصاف متمايزة والنطاقات ضيقة.

كشف الأسرار

لا ينبغي أبدًا تضمين مفاتيح API في الموجّهات أو لقطات الشاشة أو المستودعات أو سجلات العميل.

الإجراءات غير القابلة للتراجع

الحذف وترحيل القيود والدفع وتغيير صلاحيات الوصول وغيرها من العمليات عالية الأثر تستحق ضوابط أقوى أو موافقة بشرية.

قائمة التحقق للطرح في بيئة الإنتاج

• اختُبرت قاعدة بيانات غير إنتاجية.
• دُرس استخدام مستخدم مخصص بأدنى الصلاحيات.
• خُزّن مفتاح API بطريقة آمنة.
• جُردت كل أداة متاحة.
• تُحقّق من سلوك القراءة فقط.
• تخضع أدوات الكتابة لتحقق حتمي.
• اختُبرت قواعد الشركة والوصول.
• اختُبرت سيناريوهات حقن الموجّهات.
• تتطلب الإجراءات عالية الأثر الموافقة المناسبة.
• حُددت خطة للتدقيق والمراقبة.
• وُثّق إجراء تدوير المفاتيح وإبطالها.

يجعل MCP الواجهة أكثر سهولة، لكنه لا يُسقط مسؤوليات أمن التطبيقات المعتادة.

الأسئلة الشائعة

هل يتضمن أودو 20 خادم MCP؟

نعم. تصف وثائق أودو 20 خادم MCP متاحًا عبر نقطة النهاية /mcp لقاعدة البيانات.

هل يمكن ربط Claude Code بأودو 20؟

تتضمن وثائق MCP الحالية في أودو تعليمات إعداد Claude Code.

هل يمكن ربط Codex بأودو 20؟

تتضمن وثائق MCP الحالية في أودو تعليمات إعداد Codex.

هل يمنح MCP الذكاءَ الاصطناعي صلاحية وصول كاملة إلى أودو؟

ليس بطبيعته. فالوصول يعتمد على مستخدم أودو الذي تمت مصادقته وعلى الأدوات وإجراءات الخادم المتاحة. صمّم كليهما بتحفّظ.

هل MCP بديل لواجهة API في أودو؟

لا. فـ MCP مناسب لتفاعل الذكاء الاصطناعي مع الأدوات، بينما تظل JSON-2 وواجهات API المخصصة الخيار المناسب لتكاملات التطبيقات الحتمية.

الخلاصة

تكمن قيمة خادم MCP في أودو 20 في أنه يمنح أنظمة الذكاء الاصطناعي الخارجية واجهة خاضعة للضبط إلى قدرات نظام تخطيط موارد المؤسسات (ERP).

والاستخدام الأكثر أمانًا له ليس "دع الذكاء الاصطناعي يصل إلى كل شيء".

بل هو:

صادِق بأضيق نطاق، وأتِح عن قصد، وتحقّق بطريقة حتمية، ولا توسّع القدرات إلا بعد الاختبار.

هل تخطط لمشروع على أودو 20؟ تساعد Octivex Tech الشركات في ترقيات أودو، وترحيل الوحدات المخصصة، والتكاملات، وسير العمل المدعوم بالذكاء الاصطناعي. تصفّح خدماتنا في أودو أو تواصل مع فريقنا الهندسي لمناقشة بيئتك.