IDF MCP Adapter

Changelog

v3.22.0

Hinzugefügt

• Borlabs Cookie (Consent) Read-Pack - neues, rein lesendes Ability-Pack ueber die offizielle Borlabs PHP-API v3 (borlabsCookieApi()), conditional geladen (nur wenn Borlabs aktiv). Kein direkter Zugriff auf den Borlabs-Namespace oder die DB-Tabellen (vom Hersteller ausdruecklich untersagt). - Neue Ability borlabs-get-config: liest die auslesbare General- und Plugin-Konfiguration (robuster JSON-Roundtrip, unabhaengig von den Property-Namen) samt aktueller Sprache. - Neue Ability borlabs-check-config: prueft die lesbaren Grundeinstellungen heuristisch (Plugin-Status, Secure-/SameSite-Cookie, Consent-Lebensdauer ueber 12 Monate, Do-Not-Track) und meldet Befunde mit Schweregrad (critical/warning/info). - Neue Kategorie/Gruppe/Tab Consent, im Settings-UI nur sichtbar wenn Borlabs Cookie aktiv ist. - Bewusste Grenze: Die Borlabs-API gibt nur die globale Config her, NICHT die Zuordnung von Diensten zu Dienst-Gruppen oder das Consent-Ladeverhalten. Ob Tracking-Skripte erst nach Einwilligung laden, bleibt ein Frontend-Test der Seite.

v3.21.0

Hinzugefügt

• Neue Ability wc-update-variation (batch-faehig): aktualisiert bestehende Variationen eines variablen Produkts, gezielt per variation_ids oder ohne Angabe fuer ALLE Variationen des Produkts. Setzbar u.a. virtual (Versand pro Variation aus-/einschalten), downloadable, Preise, Lager, Gewicht, Versandklasse, Steuer, Beschreibung, Bild und enabled. Die Attribut-Kombination der Variation bleibt unveraendert.
• Schliesst die Luecke, dass Variationen bisher nur angelegt (wc-create-variation), aber nicht mehr geaendert werden konnten - insbesondere liess sich der pro Variation gesetzte „Virtuell"-Haken (= kein Versand) gar nicht per MCP schalten.
• Gemeinsamer Feld-Helper idf_mcp_wc_apply_variation_fields() (Setter-basiert, nur uebergebene Keys werden angefasst).

v3.20.1

Behoben

• upsell_ids / cross_sell_ids / brand akzeptieren jetzt Integer-IDs UND Strings (SKU bzw. Name). Zuvor liess das Schema nur Strings zu, sodass ein Aufruf mit numerischen IDs an der 0.5.0-Validierung scheiterte.

Hinzugefügt

• wc-get-product liefert die in v3.20.0 ergaenzten Felder jetzt auch zurueck (Lese-Symmetrie): upsell_ids, cross_sell_ids, featured, catalog_visibility, menu_order, date_on_sale_from/date_on_sale_to, backorders, sold_individually, upsell_ids0/upsell_ids1, upsell_ids2, upsell_ids3, upsell_ids4.

v3.20.0

Hinzugefügt

• WooCommerce Cross-/Up-Selling editierbar und das komplette Produkt-Feld-Set stark erweitert. wc-create-product und wc-update-product nutzen jetzt einen gemeinsamen Feld-Helper und koennen exakt dasselbe (bisher konnte update deutlich weniger als create). - Cross-/Up-Sell: upsell_ids, cross_sell_ids - referenzierbar per Produkt-ID ODER SKU (SKU wird im Plugin aufgeloest). - Neu bearbeitbar: Angebotszeitraum (date_on_sale_from/date_on_sale_to), catalog_visibility, featured, wc-update-product0, wc-update-product1, Galerie (wc-update-product2), Masse (wc-update-product3/wc-update-product4/wc-update-product5), wc-update-product6, wc-update-product7/wc-update-product8, wc-update-product9, update0, update1, Marke (update2 -> product_brand, Namen werden bei Bedarf angelegt) sowie die external-Felder update3/update4. - Paritaet: update5 beherrscht jetzt auch update6, update7, update8, update9, create0 (fehlten zuvor). - Speicherfehler (z.B. doppelte SKU, ungueltige Enum-Werte) werden sauber als Fehlermeldung zurueckgegeben statt als generischer Abbruch.

v3.19.0

Hinzugefügt

• Variable WooCommerce-Produkte werden jetzt vollstaendig unterstuetzt. Bisher legte wc-create-product bei type=variable nur eine leere Huelle ohne Attribute/Variationen an - in WooCommerce unverkaeuflich. - wc-create-product + wc-update-product: neuer attributes-Parameter (name, options, variation, visible) definiert die Varianten-Achsen. Globale pa_*-Attribute werden am Namen automatisch erkannt (fehlende Terme werden angelegt), sonst wird ein produkteigenes Custom-Attribut gesetzt. - Neue Ability wc-create-variation (batch-faehig): legt Variationen an einem variablen Produkt an, je mit Attribut-Kombination in Klartext plus Preis/SKU/Lager/Bild. Danach automatisch WC_Product_Variable::sync. Doppelte SKU o. ae. werden pro Variation sauber als Fehler gemeldet, der Rest wird trotzdem angelegt. - Neue Ability wc-list-variations: listet die Variationen eines variablen Produkts mit Attributen, Preis, SKU und Lager. - Die fiddelige WC-Attribut-Logik (pa_-Praefix, Umlaut-Slugs, global vs. custom, Term-Mapping) ist im Plugin gekapselt - KI-Agenten uebergeben nur Klartext-Namen und -Werte.

v3.18.0

Hinzugefügt

• upload-media: robuster Bild-Upload per URL. file_url ist jetzt der empfohlene, dokumentierte Weg (ein Call, kein MCP-Groessenlimit). Beschreibung umgestellt, damit KI-Agenten bei Bildern file_url statt Base64 waehlen. Base64 bleibt fuer sehr kleine Dateien; der Fehlertext verweist bei Problemen explizit auf file_url.
• upload-media-Download gehaertet: Browser-aehnlicher User-Agent + Accept-Header (manche CDNs / Generator-Assets blocken den Default-WP-UA mit HTTP 403), Redirect-Follow, Leer-Datei-Erkennung; data:-URIs werden in file_url akzeptiert; fehlende Datei-Endung wird bei Bildern aus dem Dateityp ergaenzt.
• upload-media: neue Parameter attach_to_post + set_as_featured. Hochgeladenes Bild in einem Call einem Beitrag zuordnen und direkt als dessen Beitragsbild setzen.
• Beitragsbild aus der Mediathek setzen: Neuer optionaler Parameter featured_image (Attachment-ID; 0 entfernt das Beitragsbild) in create-post, update-post, create-page, update-page, create-cpt und update-cpt. Zentral via wp_register_ability_args ins Schema eingehaengt, gesetzt via set_post_thumbnail() mit Validierung (Attachment muss ein Bild sein).

v3.17.7

Behoben

• Leeres {} bei parameterlosen Abilities scheiterte trotz v3.17.6 weiter ("input ist nicht vom Typ object"). Der mcp_adapter_pre_tool_call-Workaround war die falsche Ebene und zudem fehlerhaft: der Guard strpos($tool_name,'execute') griff nicht, weil $tool_name der MCP-Tool-Name ist und "execute" nicht garantiert enthaelt. Die eigentliche Ursache (am Quellcode verifiziert): die INNERE Ability erhaelt bei parameterlosem Aufruf null und lehnt das gegen ihr type: object-Schema ab (WP-Core WP_Ability::validate_input → rest_is_object(null) === false).
• Neuer zentraler Fix ueber wp_register_ability_args: Allen idf-mcp-provider/-Abilities mit type: object-Schema wird ein 'default' => array() injiziert. WP-Core normalize_input() setzt das Default bei null-Input ein, bevor validiert wird; rest_is_object([]) ist true, der Aufruf passiert. Greift unabhaengig von Tool-Name, Transport und davon, ob der pre_tool_call-Filter feuert - auch bei direkten Tool-Calls.
• Zusaetzlich als Absicherung: Der mcp_adapter_pre_tool_call-Filter wurde ohne den fehlerhaften Tool-Namen-Guard neu gefasst (erkennt den Gateway-Call am ability_name-Schluessel) und fuellt leere/fehlende parameters der aeusseren Gateway-Huelle.

v3.17.6

Behoben

• Leeres parameters ({}) bei execute-ability scheiterte weiterhin trotz des Workarounds aus v3.17.3. Tatsaechliche Ursache: Das Gateway-Tool von WordPress/mcp-adapter 0.5.0 liest die inneren Parameter via $input['parameters'] ?? null (ExecuteAbilityAbility). Bei einem parameterlosen Aufruf kommt parameters als null an (nicht als leeres Array), und die innere Ability lehnt null gegen ihr type: object-Schema ab ("input ist nicht vom Typ object"). Der alte Filter pruefte nur is_array() && empty() und liess null durch. Der Filter execute-ability0 deckt jetzt null, fehlendes, leeres Array und leeres Objekt ab und greift gezielt nur fuer das execute-Gateway (discover/get-info bleiben unangetastet). Betrifft alle execute-ability1-Abilities, die ohne Parameter aufgerufen werden (z. B. execute-ability2, execute-ability3, execute-ability4, execute-ability5, execute-ability6).
• seo-get-sitemap brach mit "Cannot use object of type stdClass as array" ab. Das Input-Schema nutzte als einzige Ability 'properties' => new stdClass(); der typisierte Schema-Parser von mcp-adapter 0.5.0 verarbeitet properties als Array und stolperte ueber das Objekt. Auf 'properties' => array() umgestellt. Zusaetzlich werden die Rank-Math-Sitemap-Optionen jetzt defensiv zu Array gecastet (get_option kann Array oder stdClass liefern).
• list-widgets nutzte dasselbe new stdClass()-Schema und waere bei aktivierter Widgets-Gruppe identisch abgebrochen. Ebenfalls auf 'properties' => array() umgestellt.

v3.17.5

Behoben

• Inline-<svg> blieb beim Anlegen und Aktualisieren von Inhalten nicht erhalten. Der Schreibpfad jagte post_content durch wp_kses_post, und wp_insert_post/wp_update_post wendeten zusaetzlich wp_filter_post_kses an (der MCP-Nutzer hat effektiv kein unfiltered_html). Die kses-Standard-Allowlist kennt keine SVG-Tags und schreibt camelCase-Attribute klein (viewBox -> viewbox), was SVG zerstoert. Neuer Helfer idf_mcp_write_post_unfiltered() setzt die kses-Content-Filter eng begrenzt um genau diesen vertrauenswuerdigen Insert/Update herum aus und stellt sie danach wieder her. Der Adapter ist authentifiziert und der Inhalt stammt aus einer kontrollierten Quelle (den Skills), nicht aus oeffentlichem Formular-Input. Greift fuer post_content0/post_content1, post_content2/post_content3 und post_content4/post_content5. post_content6 (Attachment-Caption/Description) bleibt bewusst kses-gefiltert.

v3.17.4

Geändert

• Admin-Dashboard: Reiter, deren Abhängigkeit fehlt (WooCommerce, SEO/Rank Math, Formulare/Avada, Events, Cache/WP Rocket, QUEST), werden jetzt ausgeblendet statt deaktiviert mit „(nicht installiert)"-Zusatz angezeigt. Das verhindert unnötig breite Reiter und hält die Navigation aufgeräumt.

Hinzugefügt

• Hilfe-Seite: Neue Karte „Verfügbare Abilities" listet alle aktuell registrierten idf-mcp-provider/-Abilities (Name + Beschreibung) inkl. Anzahl. Quelle ist wp_get_abilities() zur Laufzeit - zeigt also genau die Abilities, die verbundenen MCP-Clients tatsächlich zur Verfügung stehen.

v3.17.3

Behoben

• Eigentliche Ursache für die abbrechenden Abilities (siehe v3.17.2): Ein execute-ability-Aufruf mit leerem parameters ({}) schlug fehl („An error occurred while executing the tool"). Das leere Objekt wird in PHP als leeres Array [] dekodiert; die in WordPress/mcp-adapter 0.5.0 verschärfte Eingabe-Validierung lehnt ein leeres Array gegen ein type: object-Schema ab - verschärft durch WordPress 7.0 (Abilities-API in Core). Lag nicht in unseren Abilities, sondern im Basis-Adapter.
• Workaround über den Filter mcp_adapter_pre_tool_call (includes/compat.php): Bei leerem parameters für eine idf-mcp-provider/-Ability wird ein harmloser Schlüssel injiziert, sodass ein gültiges JSON-Objekt entsteht. Unsere Abilities ignorieren unbekannte Eingabe-Schlüssel. Greift automatisch nicht mehr, sobald der Basis-Adapter das Verhalten selbst korrigiert.

v3.17.2

Behoben

• Abilities get-site-info und health-check brachen beim Ausführen aus einer MCP-Session ab (generischer Fehler, kein Eintrag im Audit-Log, da der Abbruch vor dem Logging erfolgte). Ursache waren teure bzw. nach außen telefonierende Aufrufe, die in den PHP-Timeout liefen: - get-site-info nutzte count_users() (GROUP BY über die komplette usermeta-Tabelle) - auf großen Sites mit vielen WooCommerce-Kunden ein Timeout-Risiko. Ersetzt durch WP_User_Query mit count_total (reines SELECT COUNT(*) FROM wp_users, kein Meta-Join). - health-check rief get_core_updates() / health-check0 / health-check1 auf, die einen blockierenden Remote-HTTP-Update-Check zu api.wordpress.org auslösen können. Liest jetzt ausschließlich die gecachten Transients (health-check2, health-check3, health-check4) - kein HTTP.

v3.17.1

Behoben

• Ability set-post-terms wird jetzt tatsächlich registriert. In v3.17.0 wurden nur Version und Changelog gebumpt, der Implementierungs-Code in includes/abilities-content.php fehlte im Release. Damit zählt der Adapter erst jetzt die angekündigten ~129 Abilities.

v3.17.0

Hinzugefügt

• Neue Ability set-post-terms: Weist Taxonomie-Terme (Kategorien, Tags, custom Taxonomies) an beliebige Posts/Pages/CPTs zu. Nutzt wp_set_object_terms() mit Validierung von Post-Existenz, Taxonomie-Existenz und Post-Type-Kompatibilität. Unterstützt append-Modus und akzeptiert sowohl Term-IDs als auch Term-Namen.

Geändert

• Aktive Abilities: ~128 → ~129, Gruppen: 30.

v3.16.0

Hinzugefügt

• Neuer Tab QUEST mit acht Ability-Gruppen (~30 Abilities) für das Plugin idf-quest: Sessions, Voting, Invites, Guardianships, Badges, Sponsors, Participants, Feedback/Reports. Gruppe und Abilities nur aktiv, wenn IDF_QUEST_VERSION definiert ist. DSGVO-sensible Gruppen defaulten auf OFF.
• Neue Ability-Kategorie quest und Settings-Tab quest.
• includes/abilities-quest.php - hybrid-gekoppelt (CRUD via WP-APIs, Business-Logik via QUEST-Services).

Geändert

• Aktive Abilities: ~98 → ~128, Gruppen: 22 → 30.

v3.15.0

Hinzugefügt

• MCP-Annotations destructive und idempotent flächendeckend gesetzt. Mappt auf MCP-Hints destructiveHint und idempotentHint und sorgt dafür, dass KI-Agenten zerstörerische Operationen bestätigen und idempotente sicher wiederholen können. - destructive (neu, mit idempotent): delete-post, delete-page, delete-cpt, delete-taxonomy-term, idempotent0, idempotent1, idempotent2, idempotent3, idempotent4, idempotent5. - idempotent6 zusätzlich für bestehende destructive: idempotent7, idempotent8, idempotent9, destructiveHint0, destructiveHint1, destructiveHint2. - destructiveHint3 (alleine) für überschreibende Operationen: destructiveHint4, destructiveHint5, destructiveHint6, destructiveHint7, destructiveHint8, destructiveHint9, idempotentHint0, idempotentHint1, idempotentHint2, idempotentHint3, idempotentHint4, idempotentHint5, idempotentHint6, idempotentHint7, idempotentHint8, idempotentHint9, destructive0, destructive1.

Geändert

• Dependency-Check auf Klasse WP\\MCP\\Core\\McpAdapter umgestellt. Unter WordPress 7.0 wandert die Abilities-API in Core (wp_register_ability existiert dann unabhängig vom MCP-Adapter-Plugin). Der bisherige Proxy-Check über wp_register_ability lieferte deshalb falsch-positive Ergebnisse, sobald das Adapter-Plugin fehlte. Neue Logik unterscheidet zwischen fehlender Abilities-API (vor 6.9) und fehlendem Adapter-Plugin und zeigt jeweils eine eigene Admin-Notice.
• Plugin-Header Requires at least: 6.0 → 6.9 (wp_register_ability ist erst ab WP 6.9 verfügbar - vorher per Polyfill-Plugin WordPress Abilities API).

Kompatibilität

• Verifiziert gegen WordPress 7.0 (Release vom 2026-05-20). REST-API-Permission-Verschärfung von WP 7.0 betrifft das Plugin nicht (keine eigenen register_rest_route-Aufrufe; alle 98 Abilities haben permission_callback mit current_user_can()).

v3.14.0

Hinzugefügt

• Neue Ability-Gruppe Diagnose-Pfade (IDF Pathway) mit fünf Abilities: pathway-list, pathway-get, pathway-create, pathway-update, pathway-delete. CRUD für den CPT idf_pathway inklusive komplettem Fragebaum (_idf_tree). Gruppe und Abilities werden nur registriert, wenn das Plugin IDF Pathway aktiv ist (IDF_PATHWAY_VERSION).
• includes/abilities-pathway.php - self-contained, nutzt Standard-WordPress-APIs, keine Abhängigkeit von den internen Klassen des idf-pathway-Plugins.

Geändert

• Aktive Abilities: 79 → 84, Gruppen: 21 → 22.

v3.13.2

Behoben

• update-post akzeptiert jetzt excerpt (Feld fehlte komplett).
• create-page akzeptiert jetzt excerpt (Feld fehlte komplett).
• update-cpt und update-post/update-page: excerpt per Leerstring loeschbar (isset statt ! empty).

v3.13.1

Geändert

• Auf Git-basiertes Deployment migriert (idf-ci Workflow, readme.txt + CHANGELOG.md als Pflichtdateien).

v3.13.0

Hinzugefügt

• Phase 5: 15 neue Abilities - Rank Math SEO (Sitemap, Redirects), generische Taxonomy-CRUD, Menu-Items, User-CRUD (mit Rollen-Whitelist und Administrator-Blacklist), Media-Update/Delete, Shortcodes/Widgets-Listing.

Geändert

• Aktive Abilities: 64 → 79.
• Defense in Depth: create-user degradiert defensiv auf subscriber, update-user lehnt jede Administrator-Modifikation ab.

v3.12.1

Behoben

• Admin-Einstellungsseite nutzt jetzt dynamisch die Bildschirmbreite.

v3.12.0

Hinzugefügt

• Phase 4: 10 System-Admin-Abilities - Audit-Log, Health-Check, Cron-Jobs, Plugin-Aktivierung, Transients, WXR-Export.
• Plugin-Whitelist-UI mit harter Blacklist (idf-mcp-adapter, idf-master-key).

v3.11.0

Hinzugefügt

• Phase 3: 8 Abilities - Events (TEC) und Cache (WP Rocket). Bedingte Registrierung über Plugin-Existenz-Checks.

v3.10.0

Hinzugefügt

• Phase 2: 8 WooCommerce-Abilities - Produkte, Bestellungen, Coupons, Reports.

v3.9.x

Hinzugefügt

• Phase 1: 10 Abilities - Pages, Tags, Categories, Options, Revisions, Search.
• Statuszeile für den Automattic-MCP-Basis-Plugin-Check.

Behoben

• Spinner-Bug, GitHub-Repo-Slug, Robustheit durch Fallback-Kette.

v3.8.0

Hinzugefügt

• Avada-Forms-Integration mit 8 Abilities.
• Vierte Zugriffsstufe Admin für hochrisikante Operationen.

v3.7.x

Behoben

• Fatal Error „Cannot redeclare class IDF_Dependency_Checker" (Dependency-Checker auf v1.5.2).
• class_exists-Guard im Dependency-Checker.

Geändert

• Dependency-Check von File-Ebene in plugins_loaded:15.

v3.7.0

Hinzugefügt

• list-directory Ability mit Realpath-Validierung gegen Directory-Traversal.

v3.6.1

Behoben

• Upload-Plugin Ability: ZIP-Ordnername enthielt Versionssuffix.

Hinzugefügt

• Automatische Erkennung Update vs. Install bei Plugin-Upload.

v3.6.0

Hinzugefügt

• Master-Key-Integration.
• DSGVO-Warnhinweis für Tabs mit personenbezogenen Daten.
• Uninstall-Unterseite mit Datenlöschungs-Checkbox.

Geändert

• ACF-Felder per Opt-in (include_acf) statt automatisch.

v3.5.x

Hinzugefügt

• Chunked-Upload Ability upload-file-chunked (init/append/finish, 30-Min-TTL).

Behoben/Optimiert

• Settings-Cache, Log-Stats konsolidiert (4 → 1 Query).
• Upload-Ordner-Sanitization gegen ..-Bypass.

v3.4.x

Hinzugefügt

• 4 granulare Upload-Abilities (Plugin, Theme, Media, File).
• Zwei Transport-Wege: Base64 oder URL-Download.

v3.3.0

Hinzugefügt

• Dependency-Check für Basis-Plugin.

Geändert

• Eigener Top-Level-Menüpunkt.

v3.2.0

Hinzugefügt

• get-post Ability.
• list-posts mit include_content-Parameter.
• Migrations-Logik im Activation-Hook.

v3.1.0

Behoben

• AJAX-Handler merged jetzt mit bestehenden Settings.

Hinzugefügt

• Hilfe-Unterseite.

v3.0.0

Geändert (Breaking)

• Komplettes Refactoring aller Prefixe von mcp_ap_ auf idf_mcp_.
• Neuer Plugin-Slug idf-mcp-adapter.
• PHP 8.0+ erforderlich.

v2.0.2

• Ursprüngliche Version als mcp-abilities-provider.