ai-tools/private-proxy-mcp

Watch

Fork 0

Browser Use über den privaten Reverse Proxy anbieten #21

New issue

Closed

opened 2026-07-17 11:56:55 +02:00 by frank · 1 comment

frank commented

2026-07-17 11:56:55 +02:00

Owner

Ziel

MCP-Agenten können einen realen Browser im privaten Proxy-Netz starten und kontrolliert für JavaScript-lastige Seiten, Navigation und Interaktionen verwenden. Sämtliche Browser-Netzwerkzugriffe verlassen das System über die private Proxy-Maschine.

Open-Source-Basis und Architekturentscheidung

Vor der Implementierung wird eine kurze ADR zwischen zwei Open-Source-Varianten erstellt:

Bevorzugter Go-nativer MVP: chromedp
- MIT-lizenziert
- direkte Integration in den Go-Prozess
- steuert Chromium über das Chrome DevTools Protocol
Funktionsreichere Sidecar-Option: microsoft/playwright-mcp beziehungsweise Playwright
- Apache-2.0
- Chromium, Firefox und WebKit
- vorhandene agentengerechte Accessibility-Snapshots und Browser-Tools
- benötigt einen isolierten Node-/Browser-Sidecar und eine explizite Bridge in das bestehende Reverse-Tunnel-Modell

Rod kann als weitere MIT-lizenzierte Go-CDP-Alternative bewertet werden. Die ADR entscheidet anhand von Wartungsstand, Packaging, Session-Isolation, Tool-Semantik, Ressourcenverbrauch und Sicherheitsgrenzen.

Scope

Browser-Backend läuft ausschließlich auf der privaten Proxy-Seite.
Adapter-Schnittstelle definieren, damit MCP-Tool-Schemas nicht fest an eine konkrete Browser-Bibliothek gekoppelt sind.
Tool-Grundumfang:
- browser_open beziehungsweise navigate
- browser_snapshot mit Accessibility-/DOM-Sicht
- browser_click
- browser_type
- browser_wait
- browser_screenshot
- browser_close
Opaque browser_session_id zur expliziten Zustandsübergabe zwischen Tool-Aufrufen.
Isolierte Inkognito-Kontexte als Default; keine persistente Profil- oder Cookie-Wiederverwendung ohne explizite Betreiberkonfiguration.
Harte Limits für Sessions, Tabs, Laufzeit, Speicher, Downloads, Screenshots und parallele Aktionen.
SSRF-/Netzwerk-Policy auf jede Navigation, Subresource und jeden Redirect anwenden; file-, data- und chrome-interne URLs standardmäßig sperren.
Downloads standardmäßig deaktivieren oder in ein isoliertes, quotiertes Temp-Verzeichnis leiten.
JavaScript-Ausführung nur über klar begrenztes Tool; keine beliebige lokale Prozess- oder Dateisystemausführung.
Browserprozess sandboxen, als unprivilegierter Benutzer betreiben und bei Timeout/Disconnect zuverlässig beenden.
Browser-/Backend-Fähigkeiten beim Proxy-Handshake ankündigen, damit der MCP-Server Tools nur bei verfügbarer Capability anbietet.
Screenshots und große Snapshots über begrenzte Artefakte oder Resource Links transportieren statt unbegrenzt im JSON-RPC-Body.
Strukturierte Logs und Metriken ohne Seiteninhalte, Formulardaten, Cookies oder Tokens.

Akzeptanzkriterien

ADR mit begründeter Backend-Wahl ist im Wiki dokumentiert.
Ein End-to-End-Test navigiert über MCP und Reverse-Tunnel zu einer JavaScript-Testseite, interagiert mit einem Element und liest das Ergebnis.
Der Zielserver sieht die IP des privaten Proxy-Hosts.
Zwei Sessions sind hinsichtlich Cookies, Storage und Tabs voneinander isoliert.
Abbruch oder Tunnelverlust beendet die zugehörige Browser-Session innerhalb einer festen Frist.
SSRF-Tests decken Hauptnavigation, Redirects und Subresources ab.
Keine Browser-Debug-Schnittstelle wird ungeschützt im Netzwerk exponiert.
Installation und benötigte Chromium-/Node-Artefakte sind reproduzierbar und versioniert.

Abhängigkeiten

funktionsfähiger Private-Proxy-Modus
Tunnel-Multiplexing und Cancel/Deadline
Netzwerk-Policy und SSRF-Schutz
Observability und Graceful Shutdown

Referenzen

chromedp: https://github.com/chromedp/chromedp
Chrome DevTools Protocol: https://chromedevtools.github.io/devtools-protocol/
Microsoft Playwright: https://github.com/microsoft/playwright
Microsoft Playwright MCP: https://github.com/microsoft/playwright-mcp
Rod: https://github.com/go-rod/rod

## Ziel MCP-Agenten können einen realen Browser im privaten Proxy-Netz starten und kontrolliert für JavaScript-lastige Seiten, Navigation und Interaktionen verwenden. Sämtliche Browser-Netzwerkzugriffe verlassen das System über die private Proxy-Maschine. ## Open-Source-Basis und Architekturentscheidung Vor der Implementierung wird eine kurze ADR zwischen zwei Open-Source-Varianten erstellt: 1. Bevorzugter Go-nativer MVP: chromedp - MIT-lizenziert - direkte Integration in den Go-Prozess - steuert Chromium über das Chrome DevTools Protocol 2. Funktionsreichere Sidecar-Option: microsoft/playwright-mcp beziehungsweise Playwright - Apache-2.0 - Chromium, Firefox und WebKit - vorhandene agentengerechte Accessibility-Snapshots und Browser-Tools - benötigt einen isolierten Node-/Browser-Sidecar und eine explizite Bridge in das bestehende Reverse-Tunnel-Modell Rod kann als weitere MIT-lizenzierte Go-CDP-Alternative bewertet werden. Die ADR entscheidet anhand von Wartungsstand, Packaging, Session-Isolation, Tool-Semantik, Ressourcenverbrauch und Sicherheitsgrenzen. ## Scope - Browser-Backend läuft ausschließlich auf der privaten Proxy-Seite. - Adapter-Schnittstelle definieren, damit MCP-Tool-Schemas nicht fest an eine konkrete Browser-Bibliothek gekoppelt sind. - Tool-Grundumfang: - browser_open beziehungsweise navigate - browser_snapshot mit Accessibility-/DOM-Sicht - browser_click - browser_type - browser_wait - browser_screenshot - browser_close - Opaque browser_session_id zur expliziten Zustandsübergabe zwischen Tool-Aufrufen. - Isolierte Inkognito-Kontexte als Default; keine persistente Profil- oder Cookie-Wiederverwendung ohne explizite Betreiberkonfiguration. - Harte Limits für Sessions, Tabs, Laufzeit, Speicher, Downloads, Screenshots und parallele Aktionen. - SSRF-/Netzwerk-Policy auf jede Navigation, Subresource und jeden Redirect anwenden; file-, data- und chrome-interne URLs standardmäßig sperren. - Downloads standardmäßig deaktivieren oder in ein isoliertes, quotiertes Temp-Verzeichnis leiten. - JavaScript-Ausführung nur über klar begrenztes Tool; keine beliebige lokale Prozess- oder Dateisystemausführung. - Browserprozess sandboxen, als unprivilegierter Benutzer betreiben und bei Timeout/Disconnect zuverlässig beenden. - Browser-/Backend-Fähigkeiten beim Proxy-Handshake ankündigen, damit der MCP-Server Tools nur bei verfügbarer Capability anbietet. - Screenshots und große Snapshots über begrenzte Artefakte oder Resource Links transportieren statt unbegrenzt im JSON-RPC-Body. - Strukturierte Logs und Metriken ohne Seiteninhalte, Formulardaten, Cookies oder Tokens. ## Akzeptanzkriterien - ADR mit begründeter Backend-Wahl ist im Wiki dokumentiert. - Ein End-to-End-Test navigiert über MCP und Reverse-Tunnel zu einer JavaScript-Testseite, interagiert mit einem Element und liest das Ergebnis. - Der Zielserver sieht die IP des privaten Proxy-Hosts. - Zwei Sessions sind hinsichtlich Cookies, Storage und Tabs voneinander isoliert. - Abbruch oder Tunnelverlust beendet die zugehörige Browser-Session innerhalb einer festen Frist. - SSRF-Tests decken Hauptnavigation, Redirects und Subresources ab. - Keine Browser-Debug-Schnittstelle wird ungeschützt im Netzwerk exponiert. - Installation und benötigte Chromium-/Node-Artefakte sind reproduzierbar und versioniert. ## Abhängigkeiten - funktionsfähiger Private-Proxy-Modus - Tunnel-Multiplexing und Cancel/Deadline - Netzwerk-Policy und SSRF-Schutz - Observability und Graceful Shutdown ## Referenzen - chromedp: https://github.com/chromedp/chromedp - Chrome DevTools Protocol: https://chromedevtools.github.io/devtools-protocol/ - Microsoft Playwright: https://github.com/microsoft/playwright - Microsoft Playwright MCP: https://github.com/microsoft/playwright-mcp - Rod: https://github.com/go-rod/rod

frank added this to the v0.5.0 – Extended Proxy Capabilities milestone

2026-07-17 11:57:16 +02:00

frank added the

labels

2026-07-17 11:57:17 +02:00

frank added a new dependency

2026-07-17 11:57:48 +02:00

#4 MCP Streamable-HTTP-Server auf Port 9334 implementieren

frank added a new dependency

2026-07-17 11:57:49 +02:00

#6 Tunnel-Framing, Multiplexing und Request-Lifecycle implementieren

frank added a new dependency

2026-07-17 11:57:49 +02:00

#7 Private-Proxy-Modus mit Reconnect und Verbindungsübernahme implementieren

frank added a new dependency

2026-07-17 11:57:49 +02:00

#10 Netzwerk-Policy und SSRF-Schutz für Webrequests umsetzen

frank added a new dependency

2026-07-17 11:57:49 +02:00

#12 Observability, Health Checks und Graceful Shutdown implementieren

codex was assigned by frank

2026-07-17 14:04:31 +02:00

frank commented

2026-07-17 15:08:19 +02:00

Author

Owner

🤖 forge agent started

Agent: codex
Model: gpt-5.6-sol
Mode: pr
Trigger: assignee=agent|+5 mapped

Browser Use über den privaten Reverse Proxy anbieten — MCP-Agenten können einen realen Browser im privaten Proxy-Netz starten und kontrolliert für JavaScript-lastige Seiten, Navigation und Interaktionen verwenden. Sämtliche Browser-Netzwerkzugriffe…

🤖 **forge agent started** - Agent: `codex` - Model: `gpt-5.6-sol` - Mode: `pr` - Trigger: `assignee=agent|+5 mapped` Browser Use über den privaten Reverse Proxy anbieten — MCP-Agenten können einen realen Browser im privaten Proxy-Netz starten und kontrolliert für JavaScript-lastige Seiten, Navigation und Interaktionen verwenden. Sämtliche Browser-Netzwerkzugriffe…

frank added the

agent:working

label

2026-07-17 15:08:21 +02:00

~~frank referenced this issue 2026-07-17 15:08:28 +02:00~~

fix: #21 Browser Use über den privaten Reverse Proxy anbieten #32

frank referenced this issue

2026-07-17 15:08:31 +02:00

fix: #21 Browser Use über den privaten Reverse Proxy anbieten #32

frank referenced this issue from a pull request that will close it,

2026-07-17 15:43:15 +02:00

fix: #21 Browser Use über den privaten Reverse Proxy anbieten #32