【Agent 身份与安全】MCP 架构与安全基线

Model Context Protocol（MCP） 把 LLM 应用连接外部工具和数据的标准化——Host 跑模型，Client 连 Server，Server 暴露 tools、resources、prompts。从安全视角，MCP 解决的是工具供应链问题：谁认证 Server、谁授权 tool 调用、transport 上 secret 如何走。

本文以 MCP Specification（截至 2026-06 的公开版本 2025-03-26，A 级）为准，标注与 OAuth 2.1 草案 的衔接点。旧版 HTTP+SSE transport（2024-11-05）已被 Streamable HTTP 取代——部署时需核对 Server 协议版本。

一、Host / Client / Server 三角

flowchart TD
  HOST["MCP Host<br/>IDE / Agent 运行时"]
  LLM["LLM"]
  CLIENT["MCP Client"]
  S1["Server: Git"]
  S2["Server: Postgres"]
  HOST --> LLM
  HOST --> CLIENT
  CLIENT -->|"stdio 或 Streamable HTTP"| S1
  CLIENT -->|"stdio 或 Streamable HTTP"| S2

MCP 基于 JSON-RPC 2.0 消息（UTF-8）。生命周期：initialize → initialized → 能力交换 → tools/list、tools/call 等。

关键架构事实：一个 Host 可连多个 Server。每个 Server 的 OAuth token、API key 必须隔离——Client 不得把 Server A 的 credential 泄漏给 Server B（第 07 篇 展开供应链）。

二、Transport：stdio vs Streamable HTTP

MCP spec 2025-03-26 定义两种标准 transport（A 级）：

2.1 stdio

sequenceDiagram
  participant Client
  participant Server as Server Process
  Client->>+Server: Launch subprocess
  loop Message Exchange
    Client->>Server: Write JSON-RPC to stdin
    Server->>Client: Write JSON-RPC to stdout
    Server--)Client: Optional logs on stderr
  end
  Client->>Server: Close stdin, terminate
  deactivate Server

安全含义：

• 无网络暴露——攻击面从远程变为本地进程。
• 恶意 Server 二进制 = 本地代码执行（RCE）——与安装未签名 npm 包同级。
• 缓解：签名验证、最小文件系统权限、容器隔离（联动 零信任供应链）。

2.2 Streamable HTTP（取代 HTTP+SSE）

2025-03-26 spec 用 Streamable HTTP 替代 2024-11-05 的 HTTP+SSE transport。

Security Warning（spec 原文意图，A 级）：

1. Server 必须验证 Origin header——防 DNS rebinding。
2. 本地 Server 应只 bind 127.0.0.1，非 0.0.0.0。
3. Server 应对所有连接做认证。

无上述保护时，远程网页可通过 DNS rebinding 调用用户本机 MCP Server——与 CSRF 变体同类。

2.3 Transport 对比表

stdio 不是”更安全”——只是攻击面不同。企业远程 MCP 服务必须用 Streamable HTTP + 完整认证栈。

2.4 向后兼容

Spec 定义：新 Client 应对 Server URL POST InitializeRequest；若 4xx 则 fallback 旧 HTTP+SSE。生产环境应显式配置 transport 版本，避免静默降级到旧协议。

三、MCP 能力与攻击面

3.1 Tools

tools/list 返回 tool 名 + JSON Schema description。tools/call 执行 tool。

3.2 Resources

resources/read 返回只读数据——内容可能含隐藏指令（安全侧见 第 07 篇）。credential 角度：resource URI 不得嵌入 token。

3.3 Prompts

Server 提供的 prompt 模板——同样进入模型 context，需 Host 侧 allowlist。

四、认证：OAuth 2.1 for MCP

MCP Authorization 扩展（截至 2026-06 仍为草案演进中，以 modelcontextprotocol.io 当前 spec 为准）描述：

• MCP Server 作为 OAuth 2.0 Resource Server
• Host/Client 作为 Public Client，走授权码 + PKCE
• 与 IAM OAuth 2.1 + PKCE 一致

4.1 推荐 token 模型

与 Token Exchange 衔接：Host 经 Gateway 用 RFC 8693 换 audience=git-mcp-server 的 delegated token。

4.2 授权序列

sequenceDiagram
  participant User
  participant Host as MCP Host
  participant IdP as Authorization Server
  participant MCPS as MCP Server

  User->>Host: 连接 Git MCP Server
  Host->>IdP: PKCE authorize scope=mcp:tools:git
  IdP->>User: consent UI
  User->>IdP: 批准
  IdP->>Host: authorization code
  Host->>IdP: code + PKCE verifier
  IdP->>Host: access_token aud=git-mcp
  Host->>MCPS: Initialize + Bearer token
  MCPS->>MCPS: 验证 aud + scope + exp
  Host->>MCPS: tools/list, tools/call

4.3 Session 与 MCP HTTP Session

Streamable HTTP 的 Mcp-Session-Id：

• 初始化响应 header 返回
• 后续 POST/GET 必须携带
• Server 可随时 404 终止 session

安全：Session ID 应密码学随机（spec 建议 UUID/JWT/hash）。泄露 Session ID = 劫持 MCP 会话——须与 Bearer token 绑定或短期轮换。

五、Tool 暴露面 = 攻击面

Host 应在 tools/call 发出前做策略检查——不能假设 LLM 输出参数安全。

六、Secret 隔离清单

• 每个 Server 独立 OAuth client 或 resource indicator
• token 存 Host 进程内存，不写进 prompt / context / resource
• stdio Server 最小文件系统权限（container / user namespace）
• 远程 Server TLS + 可选证书 pin / mTLS
• Origin 验证（Streamable HTTP）
• localhost bind（本地 Server）
• 审计：tool 名、参数 hash、delegator id（第 09 篇）
• Server 版本 pin + SBOM（第 07 篇）

七、JSON-RPC 与错误处理

MCP 错误通过 JSON-RPC error 对象返回。Host 应区分：

八、多 Server 拓扑

flowchart LR
  subgraph Host Process
    C1[Client A]
    C2[Client B]
    POL[Policy Engine]
  end
  C1 -->|token_A| SA[Server A]
  C2 -->|token_B| SB[Server B]
  POL --> C1
  POL --> C2

Policy Engine 统一拦截所有 tools/call——与 零信任策略引擎 同构：默认拒绝、显式允许。

九、与 llm-infra 系列边界

llm-infra/ 讲框架选型、网关、部署。本系列讲 identity + policy + audit。MCP 工程实现见 llm-infra；安全基线以本文与 spec 为准。

十、部署检查表（Streamable HTTP）

十一、边界

• 不预测 MCP spec 最终 IETF RFC 号
• 不复现 prompt injection 攻击全文
• Multi-Agent（A2A）不在本系列首批范围
• OAuth 2.1 for MCP 截至 2026-06 为草案演进——以 spec 发布日期为准

十二、MCP Initialize 与安全

Initialize 前 HTTP 层须已完成 OAuth。Capability 协商应 disable 不需要的能力减攻击面。

十三、stdio 沙箱

专用低权用户、seccomp、网络 egress allowlist——恶意 Server 等同本地 RCE。

十四、DNS Rebinding

Spec Security Warning：验证 Origin、localhost bind、认证——缺任一项可被远程网页调用本地 MCP。

十五、OAuth Scope 命名

mcp:server:<id>:tools:invoke per-server——与 Token Exchange 组合。

十六、安全检查总表

上一篇：Human-in-the-Loop

下一篇：MCP 供应链

参考资料

1. Model Context Protocol, Specification 2025-03-26, Transports / Authorization（阅读日期 2026-06）
2. IETF OAuth 2.1 Draft, The OAuth 2.1 Authorization Framework（截至 2026-06 draft 状态）
3. Token Exchange — 本系列第 02 篇
4. 零信任供应链