MCP 让 AI 应用可以通过统一协议连接外部工具和数据。连接成功只说明链路可用，并不自动说明工具可信、权限合适，或每次操作都应该交给模型决定。
如果你正在评估一个 MCP 服务，可以先把下面五个问题问清楚。它们是阅读官方安全资料后的整理，不是对某个产品或服务的安全背书。
1. 这个服务具体能读什么、改什么？
先看工具清单和描述，逐项确认它能访问哪些数据、能执行哪些动作。把“查询订单”和“取消订单”、“读取文件”和“覆盖文件”分开看。名称相似不代表风险相同，工具描述也不能替代实际权限检查。
从最小必要范围开始：只开放完成当前任务需要的账户、目录和操作。暂时用不到的写入、删除、外发或管理能力，不要因为它们在清单里就一并启用。
2. 谁在授权，授权给了谁？
使用 HTTP 传输且服务支持授权时，要弄清楚 MCP 客户端、MCP 服务和授权服务器各自承担什么职责。授权应该针对预期使用的服务和必要权限；不要把发给其他资源的访问令牌直接转交给 MCP 服务或下游 API。
如果授权页面出现应用名称、权限范围或回调地址，确认它们与预期一致。看不懂的权限范围先暂停，向服务维护者核实，不要为了“先跑通”而批准过宽权限。
3. 哪些动作需要你再次确认？
读取公开资料、生成草稿，与发送消息、修改记录、提交表单、删除内容，后果不同。对会改变外部状态的动作，明确是否由人逐次确认、是否有撤销办法，以及确认页面能否展示将要执行的对象和内容。
如果一个工作流把多个动作串起来，确认范围应覆盖最终结果，而不只是最初的连接。例如“帮我整理客户资料”不等于授权对外发送资料或修改客户账户。
4. 连接的服务会收到哪些数据？
梳理提示词、附件、检索结果、账号标识和工具参数会流向哪里，是否包含个人信息、商业秘密或凭据。确认数据接收方、保存期限、日志范围和删除方式；不需要的数据不要发送。
日志有助于追查问题，但日志本身也可能包含敏感内容。应限制可见人员与保留范围，并避免把令牌、密码或完整个人资料写入普通日志。
5. 出问题时，能否快速停用和追查？
确认谁负责维护服务、如何报告异常、如何撤销授权或停用连接，以及如何查看操作记录。先在低风险任务中验证边界，再逐步扩大使用范围；不要把一次成功调用当作长期安全证明。
一个简短的接入记录
上线前可以留一份简单记录：服务名称与维护者、开放的工具、授权范围、可能发送的数据、需要人工确认的动作、停用方法和复核日期。发现权限变更、维护者不明或行为与描述不符时，先暂停连接并复核。
MCP 提供互操作方式，具体风险仍取决于客户端、服务实现、授权配置和所连接的系统。协议支持授权，并不代表每个实现都自动安全；同样，使用本地传输也不意味着可以忽略运行环境和进程权限。评估时应以实际配置和官方安全说明为准。
参考资料
AI 辅助说明：本文由 AI 辅助整理和润色，作者应在发布前核对所述权限边界与实际使用场景。本文为一般性学习笔记，不构成对任何 MCP 服务的安全审计或产品推荐。
