docs: readme with site-wide effects, media guide; test: media/admin end-to-end; version 0.2.0

Co-Authored-By: Claude Opus 5.5 (1M context) <noreply@anthropic.com>
Claude-Session: https://claude.ai/code/session_01At3V6SjwbMe6eMzVGW3Hs7

readme.txt

@@ -0,0 +1,97 @@
+=== WP-LIT-MCP ===
+Contributors: loosenit
+Tags: mcp, claude, divi, pods, ai
+Requires at least: 6.9
+Tested up to: 7.0
+Requires PHP: 8.1
+Stable tag: 0.2.0
+License: GPL-2.0-or-later
+License URI: https://www.gnu.org/licenses/gpl-2.0.html
+
+MCP-Server für WordPress, Divi 5 und Pods – mit OAuth für claude.ai.
+
+== Description ==
+
+WP-LIT-MCP stellt einen MCP-Server bereit, über den Claude (claude.ai-Connector) diese Website pflegt:
+Inhalte aller Inhaltstypen inkl. Pods-Feldern, Status, Kopien, Revisionen, Menüs, freigegebene
+WordPress-Einstellungen und die Mediathek. Jede Änderung läuft mit den Rechten des verbundenen
+WordPress-Benutzers und wird protokolliert.
+
+Einstellungen: Einstellungen → LIT MCP (Verbindung, Zugriff, Tools, Protokoll, Limits).
+
+== Auswirkungen auf die gesamte Website ==
+
+* Der Standard-MCP-Server von wordpress/mcp-adapter (REST-Route /wp-json/mcp/mcp-adapter-default-server)
+  wird abgeschaltet (Filter mcp_adapter_create_default_server). Andere Plugins, die diesen ungeschützten
+  Server erwarten, finden ihn nicht mehr.
+* Es gibt genau einen MCP-Endpunkt: /wp-json/mcp/mcp-oauth-server (OAuth 2.1 über die eingebundene
+  Bibliothek wp-media/mcp-oauth). Anfragen ohne gültiges Token erhalten 401 mit WWW-Authenticate.
+* mcp-oauth registriert Rewrite-Regeln für /oauth/… und /.well-known/oauth-… sowie einen
+  Website-Zustand-Test. Der Webserver muss /.well-known/ an WordPress durchreichen (bei nginx-Regeln,
+  die Punkt-Pfade sperren, eine Ausnahme für /.well-known/ anlegen).
+* Jede Verbindung ist ein Anwendungspasswort des Benutzers (Name = Client, z. B. „Claude“). Es ist im
+  Benutzerprofil sichtbar und unter Einstellungen → LIT MCP → Zugriff widerrufbar.
+* Die Capability lit_mcp_use wird zur Laufzeit an die freigegebenen Rollen vergeben; Rollen in der
+  Datenbank werden nicht verändert. Nicht freigegebene Benutzer sehen beim Verbinden weder die Werkzeugliste
+  noch Angaben zur Website – nur den Hinweis, dass ihr Konto nicht freigegeben ist.
+* Welche Werkzeuge direkt sichtbar, nur über die Meta-Werkzeuge erreichbar oder abgeschaltet sind, lässt
+  sich unter Einstellungen → LIT MCP → Tools ändern.
+* Eigene Daten: Optionen lit_mcp_allowed_roles, lit_mcp_exposure, lit_mcp_limits, lit_mcp_db_version,
+  Tabelle {prefix}lit_mcp_log (nur Verweise, keine Inhalte), täglicher Cron-Job lit_mcp_log_cleanup,
+  Transient lit_mcp_endpoint_check.
+* Uploads über LIT MCP: nur Bilder (jpg, png, gif, webp, avif), PDF, MP4, MP3; Größenlimit einstellbar
+  (Standard 5 MB); Import per URL nur von öffentlich erreichbaren Adressen (interne/lokale Adressen werden
+  abgelehnt).
+
+== Rückgängig machen ==
+
+Es gibt keine allgemeine "Rückgängig"-Funktion; was sich wie zurücksetzen lässt, hängt vom Werkzeug ab:
+
+* Inhalte (Titel, Text, Auszug): über WordPress-Revisionen (Werkzeuge lit/revisions-list,
+  lit/revision-restore). Felder und Begriffe sind in Revisionen nicht enthalten.
+* Original durch eine Kopie ersetzen (lit/post-replace-with-copy): vorher legt das Werkzeug eine Revision
+  und eine vollständige Sicherung des bisherigen Originals im Papierkorb an (backup_id in der Antwort) –
+  von dort in WordPress wiederherstellbar.
+* Medien löschen (lit/media-delete): ohne aktivierten Medien-Papierkorb (WordPress-Standard, Filter
+  MEDIA_TRASH) endgültig und nicht rückgängig zu machen; mit aktiviertem Medien-Papierkorb landet das
+  Medium dort.
+* Menüs (lit/menu-set-items): die Antwort enthält previous_items (Stand vorher), mit dem sich der
+  vorherige Baum nachbauen lässt – neu angelegte Einträge bekommen dabei eine neue ID, CSS-Klassen,
+  Linkziel und Beschreibung gehen verloren.
+* WordPress-Einstellungen (lit/wp-settings-update): die Antwort enthält previous mit den alten Werten.
+* Alle genannten Änderungen stehen zusätzlich im Änderungsprotokoll (Einstellungen → LIT MCP →
+  Protokoll), das bei Inhalten, Medien und Menüs auf den passenden Bearbeiten-/Revisions-/Mediathek-Link
+  verweist.
+* Alles andere (z. B. neu angelegte Entwürfe, hochgeladene Medien, neue Menüs) lässt sich nur über die
+  üblichen WordPress-Wege rückgängig machen (Papierkorb, manuelles Löschen) – nicht über ein eigenes
+  Undo-Werkzeug von LIT MCP.
+
+== Deaktivieren und Löschen ==
+
+* Deaktivieren entfernt den Cron-Job und lässt WordPress die Rewrite-Regeln neu erzeugen; der
+  MCP-Endpunkt und die OAuth-Adressen sind danach nicht mehr erreichbar. Einstellungen und Protokoll
+  bleiben erhalten.
+* Löschen entfernt zusätzlich alle eigenen Optionen und die Protokolltabelle (auf Multisite je Website).
+* Nicht entfernt werden die Daten von mcp-oauth (Option mcp_jwt_secret, Option
+  wpmedia_mcp_oauth_rewrite_version, Benutzer-Meta mcp_refresh_jti_*, Anwendungspasswörter der
+  Verbindungen), weil diese Bibliothek auch von anderen Plugins genutzt werden kann. Verbindungen
+  deshalb vor dem Löschen unter Einstellungen → LIT MCP → Zugriff widerrufen; nicht mehr benötigte
+  Anwendungspasswörter lassen sich im Benutzerprofil entfernen.
+
+== Multisite ==
+
+Das Plugin wird je Website aktiviert und konfiguriert; Rollenfreigaben, Tool-Einstellungen und
+Protokoll gelten pro Website. Der Standard-MCP-Server von mcp-adapter wird ebenfalls website-weit
+abgeschaltet.
+
+== Changelog ==
+
+= 0.2.0 =
+* WordPress-Basis: Schema-Erkennung inkl. Pods, Inhalte lesen/anlegen/ändern, Status, Kopie und
+  Austausch, Revisionen, Menüs, WordPress-Einstellungen, Mediathek (Suche, Vorschau, Metadaten,
+  Hochladen, Herunterladen, Löschen mit Verwendungsprüfung), Änderungsprotokoll, Einstellungsseite
+  (Verbindung, Zugriff, Tools, Protokoll, Limits), konfigurierbare Tool-Exposition, Aufräumen bei
+  Deaktivierung/Deinstallation.
+
+= 0.1.0 =
+* Anbindung: OAuth-geschützter MCP-Server, Rollen-Gate, lit-guide, lit-site-status.