ربط أودو بـ MCP خطوة بخطوة

• أودو ١٧ أو ١٨ أو ١٩ أو ٢٠، Community أو Enterprise، على سيرفرك أو على Odoo.sh. أودو أونلاين ما يسمح بتثبيت موديولات خاصة.
• رابط https عام يوصل لأودو. جنتال والعملاء السحابية ما يتصلون بعناوين http أو بعناوين داخلية.
• صلاحيات مدير على أودو (Settings) عشان تثبت الموديول وتسوي المستخدمين.

من ⁦Gental MCP › Configuration › General⁩: حط رابط أودو العام (الافتراضي هو web.base.url)، وانسخ رابط الـ MCP اللي ينتهي بـ ⁦/mcp⁩، واضغط فحص الوصول.

كل طلب يشتغل باسم مستخدم أودو، فهذا المستخدم هو حد اللي يقدر الوكيل يوصله.

1. مستخدم داخلي جديد

   من ⁦Settings › Users⁩ سوّ مستخدم اسمه «⁦Gental Agent⁩» بإيميل خاص فيه.

2. أقل المجموعات اللازمة

   عطه بس المجموعات اللي يحتاجها الوكيل، مثل مستخدم المبيعات بدون صلاحيات المدير. قواعد السجلات حقتك تنطبق عليه.

3. ضيفه لمجموعة «⁦Gental MCP: Connect⁩»

   بدونها ما يقدر يتصل ولا يوافق على أي عميل. تقدر تغير المجموعات المسموحة من ⁦Configuration › Access⁩.

1. جنتال

   من التطبيقات (Connectors) اختار «خادم MCP مخصص»، والصق رابط أودو مع ⁦/mcp⁩، وادخل بمستخدم Gental Agent ووافق. ولأدوات «طلباتي» و«فواتيري» حق العميل، الصق سر الهوية اللي يعرضه جنتال مرة وحدة في ⁦Configuration › General⁩.

2. Claude

   أضف موصل مخصص (custom connector) بنفس الرابط، وادخل بمستخدم أودو ووافق.

3. ChatGPT

   أضف موصل (من وضع المطور) بنفس الرابط، وادخل بمستخدم أودو ووافق.

4. سكربتاتك

   من ⁦Clients › New API key⁩ اختار المستخدم ومدة الصلاحية. المفتاح يطلع مرة وحدة، وترسله في ترويسة ⁦Authorization: Bearer⁩.

• الوكيل يتصل بمستخدم مخصص بأقل صلاحيات، مو بحساب مدير.
• راجع صندوق الوارد (⁦Logs › Inbox⁩) كل أسبوع، خصوصًا الطلبات المرفوضة.
• ألغِ أي عميل أو مفتاح ما تستخدمه من Clients، والإلغاء يوقفه على طول.
• غيّر مفاتيح API وسر الهوية بشكل دوري، وحط مدة انتهاء للمفاتيح.
• خلّ أودو والموديول محدثين.

كل إرسال فيه X-Gental-Event وX-Gental-Delivery وX-Gental-Timestamp وX-Gental-Signature. التوقيع HMAC-SHA256 بالسر على ⁦timestamp + "." + الجسم الخام⁩، بصيغة hex. قارن بوقت ثابت، وارفض أي توقيت أقدم من خمس دقايق.

import { createHmac, timingSafeEqual } from 'node:crypto';

// rawBody: the request body exactly as received (a Buffer), before any JSON parsing.
// headers: Node's lower-cased request headers.
export function verifyGentalWebhook(headers, rawBody, secret, now = Date.now() / 1000) {
  const timestamp = headers['x-gental-timestamp'];
  const signature = headers['x-gental-signature'];
  if (!timestamp || !signature) return false;

  // Reject anything older (or newer) than 5 minutes.
  const ts = Number(timestamp);
  if (!Number.isFinite(ts) || Math.abs(now - ts) > 300) return false;

  const expected = createHmac('sha256', secret)
    .update(`${timestamp}.`)
    .update(rawBody)
    .digest('hex');
  const a = Buffer.from(expected);
  const b = Buffer.from(String(signature));
  return a.length === b.length && timingSafeEqual(a, b);
}

import hashlib
import hmac
import time


def verify_gental_webhook(headers, raw_body: bytes, secret: str, now: float | None = None) -> bool:
    """headers: a case-insensitive mapping (Flask, Django, FastAPI request headers)."""
    timestamp = headers.get("X-Gental-Timestamp")
    signature = headers.get("X-Gental-Signature")
    if not timestamp or not signature:
        return False

    # Reject anything older (or newer) than 5 minutes.
    try:
        ts = int(timestamp)
    except ValueError:
        return False
    if abs((time.time() if now is None else now) - ts) > 300:
        return False

    expected = hmac.new(
        secret.encode(), timestamp.encode() + b"." + raw_body, hashlib.sha256
    ).hexdigest()
    return hmac.compare_digest(expected.encode(), signature.encode())

الإرسال ممكن يوصل أكثر من مرة، فتجاهل أي X-Gental-Delivery استلمته قبل.

• صفحة الموديول في متجر تطبيقات أودوبتاريخ نوفمبر ٢٠٢٦
• مواصفة MCP: التفويض (Authorization)بتاريخ نوفمبر ٢٠٢٦