MCP是什么？从安装到权限配置，教你安全接入AI工具

一、MCP解决了什么问题

MCP通常指Model Context Protocol。它为AI应用连接外部数据和能力提供了一种通用通信方式，例如读取项目文档、查询数据库、访问日历或执行受控的网页检索。接入MCP后，AI并不是直接获得整台电脑的控制权，而是通过客户端连接到一个或多个MCP服务器，再由服务器提供明确列出的工具或资源。

可以把三部分理解为：客户端是承载对话并发起调用的AI应用；服务器负责把某类外部能力封装成MCP接口；工具或资源则是可被使用的具体能力，例如读取文件、查询记录或获取网页内容。不同AI客户端对MCP的支持方式、配置文件位置和字段格式可能不同，因此实际操作前应以所用客户端的文档为准。

二、用本地文件服务器做一个受限示例

首次接入可以从“只读指定项目目录”开始。常见的文件系统MCP服务器会通过命令行参数接收允许访问的目录。下面是一个常见配置形态，路径和字段名需要根据客户端文档调整：

配置示例： {"mcpServers":{"project-files":{"command":"npx","args":["-y","@modelcontextprotocol/server-filesystem","/绝对路径/项目目录"]}}}

这个示例的关键不是照抄某个客户端的配置，而是把权限边界写在启动参数中：服务器只接触指定项目目录，不应直接指向用户主目录、根目录或包含凭据的目录。使用前还要确认本机已安装Node.js和npm，并从可信来源核对服务器包名及其说明。首次运行通过包管理器下载依赖时，也应留意终端提示和实际执行内容。

三、启动与调用流程

1. 准备目录：新建一个测试项目目录，放入几份不含密码、令牌和个人隐私的文档。
2. 填写配置：在客户端的MCP设置中新增服务器，使用本机实际路径替换示例路径。不要把配置文件中的路径、命令和参数未经核对地复制到生产环境。
3. 启动连接：支持该配置方式的客户端通常会按command和args启动本地服务器进程，并建立连接。若客户端要求手动启动、环境变量或其他格式，应按其文档操作。
4. 确认工具：连接成功后查看服务器暴露的工具或资源名称，确认是否包含读取、写入或其他高风险操作。
5. 发起受控请求：可以输入“读取项目目录中的文档文件，按文件名生成目录，不修改任何内容”。在客户端弹出调用确认时，先检查目标路径、操作类型和返回范围。

完成后，AI应先通过文件工具获取允许目录内的内容，再根据返回结果生成目录。如果请求超出授权路径，正常的权限设计应让服务器拒绝或无法访问，而不是自动扩大范围。

四、不同权限的风险并不相同

• 读取文件：可能泄露源代码、合同、配置和个人资料。应只开放必要目录，并排除.env、密钥文件、备份文件和凭据目录。
• 写入文件：除了泄露风险，还可能覆盖内容或修改配置。首次使用应优先选择只读服务器，并要求客户端在写入前确认。
• 执行命令：风险通常更高，因为命令可能删除文件、改变环境或安装程序。除非有明确场景，不要向通用对话开放任意命令执行。
• 访问网络：网络工具可能把查询内容发送给外部服务，也可能访问内网地址。应限制目标范围，并核对数据处理方式。
• 访问密钥：不要为了方便把API密钥、SSH私钥或云平台凭据交给工具。需要认证时，应使用最小权限、独立账号和可撤销凭据。

五、接入前的安全清单

只安装来源可信、代码和文档可核对的MCP服务器，不要因为名称相似就默认第三方服务器安全。先在测试目录中验证，再逐步增加权限；服务器能完成任务所需的目录、接口和操作越少越好。对日历、数据库或网页检索工具，也应先限制查询范围，例如只允许读取指定日历、只读数据库账号或只访问明确的检索服务。

同时检查客户端是否展示工具调用并支持人工确认，保存必要的运行日志，定期删除不再使用的服务器配置。MCP只是连接协议，不会替你自动判断工具是否可信，也不会消除外部服务本身的权限风险。把每个服务器当成一个独立程序审查，先明确它能看什么、能改什么、能连到哪里，再决定是否接入。