第三方 MCP Server 接入前检查什么？验收工具、权限与数据流

团队准备给 Agent 接入一台第三方 MCP Server。安装配置写着“只读”，界面只展示两个常用工具，授权窗口却要求整套账户权限。**能连上，不等于适合开放给模型。**接入验收要回答：这台 Server 在你的身份下实际提供什么能力，能接触哪些资料，故障或升级后谁能立即停用它？

本页以一台 Server 的准入决定为单位。工具调用契约规定单个操作的输入和执行端规则；Agent 权限阶梯决定每类动作可由 Agent 自主做到哪一步。本页在两者之前核查第三方连接本身，避免用一个好看的工具描述代替对供应方、进程、凭据和数据流的审查。下方工作台可填写、复制、导出一份 Server 准入记录。

固定要验收的连接，而不是只记产品名称

先写出任务、预期使用的工具、部署环境和负责人，再固定测试对象：远端 MCP endpoint 或本地启动命令、发行者、软件版本或构建摘要、传输方式、客户端版本与本次协商的协议版本。协议版本和第三方软件版本是两件事：前者决定双方怎样说话，后者决定安装的代码和工具行为。2026-07-28 的 MCP 修订与早期版本在消息流程上有差异，测试结论只对记录过的组合成立。

若是本地 stdio Server，客户端会启动一个子进程；启动配置就是在本机执行代码。检查完整命令、参数、软件来源、更新方式和实际运行身份。不要把包名当作发行者身份，更不要在首次启动时让未固定版本的包自动更新。若是远端 Streamable HTTP，记录实际 endpoint、运营主体和认证方；本地 HTTP 端点还要核查是否只绑定到本机、是否校验 Origin，以及是否要求适当认证。这些是服务端防护项，客户端不能仅因“地址是 localhost”就假设安全。

用测试身份盘点实际暴露的能力

用准备上线的那种身份与范围执行 tools/list，取完所有分页，保留工具名、描述、输入结构、声明的输出结构和行为注解的脱敏快照。工具集可以随授权而不同，也会随时间改变；管理员看到的清单不能代替普通使用者看到的清单。逐项标明“此任务必需”“暂不开放”或“拒绝接入”，在客户端或执行端落实工具允许清单。再核对 Server 是否还提供资源、Prompt，或会请求客户端提供采样、输入征集等能力；只记录实际协商和启用的面。

描述与 annotations 来自 Server。MCP 规范要求客户端在 Server 未获信任时把工具注解视为不可信，因此“只读”“不会传出资料”等标记只能作为待核查声明。用合成记录调用，检查下游状态和网络路径。第三方返回的文本也可能含有要求模型改变指令的内容，应按提示注入回归测试处理为不可信资料。

若 Server 声明工具列表会变化，可以接收相应通知，但通知只是复核信号。接入时、凭据范围改变后、升级后和重新连接后都应重新取完整清单，比对名称、结构与预期效果。新工具默认不进入允许清单；原工具若更名、扩大参数范围或改变效果，也要重新验收。

把凭据、权限和数据流分开画

远端 HTTP 授权在 MCP 中是可选能力；支持该授权方式的连接需要核查实际请求与实际授予的 scope、访问令牌的目标 Server，以及升级权限时谁批准。规范要求 Server 验证令牌确实发给自己，并禁止把不属于它的令牌直接转交下游服务。初始授权有时会根据 Server 公布的 scope 集合申请权限，所以不能只看到 OAuth 窗口就认为已实现最小授权。若某工具返回权限不足，下一步申请更大范围也应回到本次准入决定，而不是由 Agent 自动同意。

本地 stdio 连接通常从环境获取凭据。检查具体注入了哪些环境变量、哪个账户签发、作用于哪些租户或对象、保存和轮换在哪里完成；工作台只写凭据位置和负责人，不写令牌本身。无论采用哪种传输方式，都用合成的其他租户编号做一次拒绝测试。工具参数中的账户 ID 不能替代经过验证的调用者身份。数据边界图可进一步决定哪些业务字段根本不应发给外部服务。

逐段画出信息路径：用户输入和工具参数到客户端、MCP Server、它调用的下游 API、日志或监控，再到返回内容和模型上下文。记录每段的运营方、传输目标、允许字段、保留期和删除请求渠道。只读查询也会把查询词、对象编号甚至客户地址发给供应方；本地进程则可能读到未显式传给工具的文件和环境信息。网络出口、文件挂载及日志采集需按实测边界限制，而不只是靠 Prompt 约束；沙箱边界试验可留下可观察的拒绝证据。当前规范把 roots 标为已弃用；旧客户端如果还提供目录列表，也不能把它当作文件系统沙箱。

用拒绝、故障和退出探针决定能否开放

一次成功调用只证明基本连通。至少记录四组探针：获准的合成请求能否返回预期结果；另一租户或超出 scope 的请求是否被拒绝；超时、限流、断线、工具错误时是否有可辨认的状态和人工后备；撤权或禁用后是否真的无法继续调用。对于可能写入的工具，超时并不证明没有产生外部效果，应先查目标系统，再按恢复手册处理未知状态。不要把失败响应直接变成无限重试。

退出演练分几步：从客户端移除或禁用该 Server 和工具允许清单，停止本地进程或连接，撤销 OAuth 授权或轮换独立 API 密钥，取消未完成任务，再用旧凭据尝试一次应被拒绝的请求。**阻止未来调用与删除过去已经交给供应方的数据是两件事。**后者需另查合同、保留期和删除回执。每次更换包版本、endpoint、scope、工具集、下游供应方或数据用途，都触发复审；有阻断项时选择限用或暂缓，不用“先接入再观察”代替门禁。

准入结论	需要留下的证据
开放限定能力	指定版本与身份下的完整工具快照、允许清单、最小凭据、数据路径和拒绝／撤销探针均通过。
仅在测试环境限用	资料为合成值，凭据与网络隔离，缺口有负责人及复测日期；生产调用保持关闭。
暂不接入	工具或权限面无法枚举，供应方无法解释数据去向，越权探针通过、撤权无效，或写入后果无法核实。

案例一：远端物流查询扩大了工具和授权面

一家零售商只想让客服助理读取包裹状态。拟接入的远端 Server 对测试身份列出 get_tracking_status，同时列出 create_return_label；授权窗口申请 shipments:*，而客服任务只需读取。客服团队先使用虚构运单与合成地址完成清单分页，再以另一商户的编号测试拒绝，记录查询会经过哪家物流服务与日志系统。

如果供应方无法给出只读 scope 或执行端无法阻止退货标签工具，结论是暂不接入生产。若能获得窄凭据并验证另一个商户的运单被拒绝，则仅将状态查询加入允许清单。后来 Server 更新、又增加一个寄件工具时，新增项仍保持关闭，复核版本、授权与数据流后才决定是否开放。这个案例的核心不是给 get_tracking_status 重新写参数 schema，而是确认整台第三方 Server 在当前授权下能做什么。

案例二：本地字幕索引进程看见了工作目录之外

视频团队想用本地 MCP Server 搜索已公开字幕。安装说明给出一条由包管理器启动的命令，但默认以团队成员的个人账户运行，还能读取家目录并访问网络。团队记录命令和固定包版本，在隔离环境只挂载公开字幕目录，不注入个人 API 密钥，并将网络出口限制为确有必要的目标；若功能本不需要外网，就关闭出口。

用虚构字幕跑一遍索引、搜索和中途崩溃。索引中断后，搜索不能把“只建了一半”当成全部资料；应有可核对的文件清单或重建步骤。停用测试还要确认客户端不再启动进程，旧环境中的凭据已撤销。若 Server 必须读取整个家目录才可工作，这次接入仍不合格。目录提示或模型看到的“只搜索字幕”说明都不能代替进程级文件与网络边界。

常见问题

有 readOnlyHint 就能跳过试验吗？

不能。它属于 Server 提供的行为声明。验证实际权限、可见对象、网络流量和外部状态，才能判断是否满足“只读”的业务要求；同时限制工具结果进入模型后的用途。

撤销 OAuth 授权就算完成下线吗？

还要检查客户端配置、排队任务、独立下游密钥和旧凭据的拒绝结果。供应方已经收到的数据是否删除，需要单独的保留与删除证据。单次运行轨迹复核可帮助核对下线前最后一次实际调用。

不适用边界

这份清单是技术接入门禁，不是供应商合同、安全审计或隐私影响评估的替身。协议兼容、工具名称和一次成功调用都不足以证明长期可信。高影响操作即使来自通过验收的 Server，仍需要逐动作权限、审批和恢复规则；一个 Server 的通过结论也不能自动套用到另一版本、凭据或数据用途。