Filesystem

сверено с первичными источниками 4 октября 2026

README сервера называет его сервером на Node.js для действий с файловой системой: чтение и запись файлов, создание и просмотр каталогов, перемещение, поиск, сведения о файле.

Проект относит Filesystem к эталонным реализациям. По корневому README, это учебные примеры, а не готовые решения для промышленной эксплуатации, и разработчикам следует самим оценить требования к безопасности.

{
  "mcpServers": {
    "filesystem": {
      "command": "npx",
      "args": [
        "-y",
        "@modelcontextprotocol/server-filesystem",
        "/Users/username/Desktop",
        "/path/to/other/allowed/dir"
      ]
    }
  }
}

Пример взят из документации выпуска 2026.8.31 и здесь не запускался.

Каждый путь после имени пакета - разрешённый каталог. README описывает и запуск в Docker: каталоги подключаются внутрь /projects, а пометка ro делает каталог доступным только для чтения.

README описывает два способа задать разрешённые каталоги.

1. Аргументы запуска. Каталоги перечислены в команде.
2. Roots. Клиент, который поддерживает Roots, передаёт каталоги сам. README называет этот способ рекомендуемым: каталоги можно менять без перезапуска сервера, через уведомление notifications/roots/list_changed.

Три правила из README, на которые стоит обратить внимание:

• каталоги из Roots полностью заменяют каталоги из аргументов запуска;
• если сервер запущен без аргументов, а клиент не поддерживает Roots или прислал пустой список, сервер завершит инициализацию с ошибкой;
• сервер разрешает действия только внутри каталогов, заданных аргументами или через Roots.

Имена сверены с файлом index.ts и с опубликованным пакетом 2026.8.31: набор совпадает. Описания - по README.

Ресурсов и промптов сервер не объявляет.

README сообщает, что сервер ставит на каждый инструмент аннотации: readOnlyHint, idempotentHint, destructiveHint. Все инструменты получают openWorldHint: false - сервер работает только с локальными файлами.

Аннотации - подсказки, а не защита. Спецификация требует: клиент обязан считать аннотации инструментов недоверенными, если они получены не от доверенного сервера (раздел Tools).

Только stdio: в исходном коде используется один транспорт StdioServerTransport.

Обе записи опубликованы 1 июля 2025 года с уровнем «высокий». В README сервера они не упомянуты, поэтому проверять установленную версию приходится самому: исправление вошло в 2025.7.1, версии из указанных диапазонов ниже неё затронуты.

• Перед действием путь приводится к настоящему (через realpath), и символическая ссылка, ведущая за пределы разрешённых каталогов, отклоняется - это видно в файле lib.ts.
• README просит осторожности с write_file и советует сначала вызывать edit_file в режиме dryRun.

Сервер получает столько, сколько вы ему разрешили. Разрешённый домашний каталог целиком - это и ключи, и настройки программ. Давайте самый узкий каталог, а для чтения - подключение только на чтение. Ограничения на уровне операционной системы и контейнера - практика, не правило MCP.

Сервер не заявляет, по какой редакции протокола он работает. В README есть одна ссылка на страницу спецификации редакции 2025-03-26 - там, где объясняются аннотации инструментов. Ссылка на документ - не заявление о поддержке.

В зависимостях опубликованного пакета 2026.8.31 стоит @modelcontextprotocol/sdk ^1.30.0. Это факт о пакете. Вывода о редакции протокола из него этот сайт не делает.

• Эталонные серверы - все семь серверов.
• Инциденты - разбор известных уязвимостей в серверах и клиентах.
• Tools - как устроены инструменты и их аннотации.
• Как выбрать и проверить сервер - порядок проверки перед подключением.