WebMCP dans Laravel : ajoutez des outils pour agents IA à votre application PHP

Une application Laravel possède déjà ce dont les outils WebMCP ont besoin : des routes, de la validation, des policies et une session. Il suffit d’ajouter un petit script à la page. Vous découvrez le sujet ? Commencez par ce qu’est WebMCP.

Étape 1 : une petite route JSON

Utilisez une route dans routes/web.php, pour que la session du visiteur s’applique, et ajoutez une limite de débit :

Route::get('/agent/products', function (Illuminate\Http\Request $request) {
    $data = $request->validate(['q' => 'required|string|max:80']);

    return App\Models\Product::query()
        ->where('published', true)
        ->where('name', 'like', '%'.$data['q'].'%')
        ->limit(5)
        ->get(['name', 'price', 'slug']);
})->middleware('throttle:30,1');

Ne sélectionnez que les colonnes qu’un client a le droit de voir. Ne renvoyez jamais un modèle entier.

Étape 2 : enregistrer l’outil dans Blade

Ajoutez un script à votre layout, ou ajoutez-le uniquement aux pages qui en ont besoin :

@push('scripts')
<script>
  const mc = document.modelContext || navigator.modelContext;
  if (mc && mc.registerTool) {
    mc.registerTool({
      name: 'search_products',
      description: 'Search published products. Returns name, price and slug.',
      inputSchema: {
        type: 'object',
        properties: { q: { type: 'string', description: 'Keywords' } },
        required: ['q'],
      },
      annotations: { readOnlyHint: true },
      execute: async ({ q }) => {
        const res = await fetch('/agent/products?q=' + encodeURIComponent(q));
        return await res.text();
      },
    });
  }
</script>
@endpush

Étape 3 : les formulaires Blade comme outils

Ajoutez toolname et tooldescription à un formulaire existant. Les champs avec libellé deviennent les paramètres de l’outil. Conservez @csrf. Le navigateur remplit le formulaire et, par défaut, c’est le visiteur qui clique sur le bouton.

Étape 4 : les actions sensibles

Pour un outil POST, envoyez le jeton CSRF dans l’en-tête X-CSRF-TOKEN et autorisez l’action avec une policy, comme d’habitude. Signalez l’outil avec consequentialHint: true.

Règles de sécurité

• Commencez en lecture seule. La recherche et les détails d’abord ; signalez-les avec readOnlyHint.
• Demandez avant d’agir. Signalez les actions de panier, de réservation et de formulaire avec consequentialHint, pour que le visiteur confirme.
• Vérifiez côté serveur. Le navigateur n’est pas une barrière de sécurité : validez chaque paramètre et chaque permission dans votre backend.
• Renvoyez le minimum. N’envoyez que ce qu’un client a le droit de voir, jamais de données d’administration ni les informations d’autres clients.

Testez

1. Utilisez une version récente de Chrome avec WebMCP activé, via l’origin trial ou le flag de test.
2. Appelez chaque outil avec des paramètres valides et invalides.
3. Vérifiez que les visiteurs habituels ne voient aucune différence.
4. Lancez le vérificateur WebMCP gratuit sur la page précise où se trouvent vos outils.

Vous préférez nous le confier ?

Nous ajoutons WebMCP aux applications Laravel et PHP. Découvrez nos services d’intégration WebMCP, ou contrôlez votre version actuelle de PHP avec notre vérificateur de version PHP gratuit.