Как я прикрутил Claude к Яндекс Лавке: реверс-инжиниринг закрытого API и MCP-сервер

Разработчик под ником (автор) решил сделать ИИ-ассистента для заказа продуктов фразой вроде «закажи молоко и что-нибудь к ужину». Поскольку у Яндекс Лавки нет публичного API, пришлось вручную реверсить приватный веб-API прямо из браузерного трафика.

Результат — MCP-сервер, который даёт Claude (или любому другому MCP-совместимому ассистенту) инструменты для поиска, управления корзиной и оформления заказа с подтверждением суммы. В процессе автор наткнулся на кучу граблей: X-CSRF-Token, зашитый в HTML, гонки за общую корзину и HTTP 409, ошибки «Раскупили» и «только из Большой Лавки», пустой способ оплаты и удалённый деплой с OAuth для заказа с телефона.

Код опубликован под лицензией MIT, ставится через uvx. Предупреждение: реверс приватного API — это серая зона, а оформление заказов тратит реальные деньги, так что осторожнее.