给企业主讲 MCP：通用连接语言，每道门仍要授权

老板看到演示中助手回答库存问题，便想周一前把订单、库存和会计都接上。运营负责人的问题不同：分店经理提问时，助手究竟有权看哪家分店的记录？

零售商是虚构的，但这才是采购前值得谈的问题。通用连接格式可减少集成工作，却不能自行决定公司权限、保证每个答案正确，或让数据自动留在本地。MCP，即 Model Context Protocol，提供共同语言；边界仍由人选择。

这是运营 AI 系列第二篇。第一篇判断适合智能体的工作，第三篇讲审批和审计证据。理解下面的连接无需写代码。

一种共同语言，三种不同职责

MCP 规定 AI 应用如何发现并使用另一程序提供的能力。可以把它比作熟悉的插头形状：有利于兼容，但形状本身不决定谁能用设备，也不决定设备可以暴露什么信息。

Host 是人使用的助手应用。其 client 组件与 MCP server 通信，server 再将获准请求转成业务系统已有操作。这是软件角色，不一定是另一台实体机器。一个 host 可连接多个 server。

服务器可以提供 resources（URI 标识的上下文）、tools（可调用函数）与 prompts（可复用消息模板）。库存查询也可以是只读 tool；tool 不等于写入，resource 也不等于非敏感数据。模板不是访问政策。请检查实际两端支持的功能，不能假设三种都支持。

可复用组件不等于更少的授权路径

假设有三个助手应用及三个业务系统。朴素的定制设计可能维护九套逐对集成。MCP 用可复用的 host/client 支持与 server 接口，减少重复协议工作，概念上是三加三组件。

如果每个助手都用每个系统，仍有三 × 三 = 九条逻辑访问路径需要配置及授权。“六个可复用组件”不等于“六条实际连接”。实现中可共享基础设施或合并系统，适配器工作量也未必相同。这是设计示例，不是保证节省。

业务映射、单位、标识符、验证及底层 API 仍要做好。权威业务规则应由拥有该操作的系统维护，供页面、API 和 MCP 共同复用。Host 和模型供应商也各有安全责任；MCP 不会神奇地把全部规则集中到一座网关。

跟随一次库存查询，别把整家公司开放

教学场景中，经理可以读取2号店库存，却无权看别店毛利或工资。他问自己的地点现在有多少瓶商品可售。Host 发起获准查询；server 返回数据前检查身份、范围、门店及字段权限。

在注明的快照时点，实物在手50件，其中5件质量冻结。45件获批库存中已有20件预留。因此当前自由可用的获批库存是50 − 5 − 20 = 25。本例各扣减类别不重叠。若系统“可用量”已经排除冻结与预留，就不能再扣一次。

答案包含地点、单位、状态口径及证据时间，不能因为数据库里有客户地址、供应商成本就一并返回。25件自由库存只是快照，不是交货承诺或需求预测；下一张订单就可能改变可用量。

若经理要求别店受限数据，应在检索前拒绝。受限记录若已进入模型上下文、缓存或日志，只过滤最后一句话已经太晚。之后创建采购草稿是另一项权限和流程；能回答库存，不代表有权购买。

身份、同意和业务权利是不同检查

受保护的远程 HTTP 连接，应与供应商一起查看MCP 授权规范，其中描述基于 OAuth 的框架。协议层授权是可选能力，但这并不允许匿名公开 ERP 私有数据。本地 stdio 进程不采用该 HTTP OAuth 流程作为规定方式；凭据与操作系统权限需单独控制。

登录识别用户，同意授权某客户端访问，scope 限制令牌，而应用业务规则决定此人能否读这条记录或批准这项操作。OAuth 不会自动复制所有 ERP 角色、记录过滤及审批规则。每次调用的有效权限都应遵守用户权利、委派范围及当前政策。

询问令牌 audience/resource 验证、适用的 PKCE、安全存储、到期、撤销及停用用户检查。任何一项都不是应对凭据被盗或 host 被攻破的万能盾牌。不要为图方便把一个服务的令牌原样传给无关服务。无人值守工作需有限服务身份、责任人和复审，不能悄悄冒充经理。

本地 MCP server 是可执行软件。选择可信发布者与受控版本，了解它能访问哪些文件、凭据及网络目的地。“在我的电脑运行”不是安全认证。

连接前先画出数据旅程

Server 可与 ERP 在一起，host 或模型却在别处。Host 决定返回上下文的哪些部分送给模型或其他服务，并非每个字节都必须自动转发。检查真实旅程，包括提示词、结果、缓存、日志、支持访问、分包处理者、保留期及训练条款。

只用最少必要字段、获准记录与已批准的模型目的地。客户文本、内部备注、供应商文件都可能夹带恶意指令；在公司内部不等于具有授权效力。工具说明与只读提示也不证明实现安全。即使模型提出错误要求，应用检查仍必须有效。

让供应商实际展示下表边界。审计证据便于调查，并不会只因日志存在就防止事故。应保护并脱敏，不能把所有原始参数和结果无限期保存。

边界	要求展示的实际证据
身份与记录	即使给出ID，也不能取到另一门店受限记录
最少数据	库存回答不含私有成本、地址和无关字段
操作控制	草稿不会暗中预留或发送；执行需适当审批
失败恢复	核对已提交但未明结果，重试不产生重复
证据与撤销	审计限权脱敏；按声明的停用/撤销政策停止访问

问清版本，别买下扩容承诺

本次审阅核查了官方2026-07-28规范，其核心使用自包含请求；早期版本则有连接级会话。请询问两端实际实现的版本、传输方式及可选能力，如何测试兼容，谁负责升级。

协议无状态，不等于采购流程无状态，也不等于不再有共享业务数据。身份验证、容量、数据库一致性、操作引用及长任务仍需设计。协议版本本身无法证明加负载均衡器就能安全扩展 ERP。

第一次连接要小到可以逐项检查

选择一位经理、一个地点和一种有用查询，记录允许字段、证据新鲜度、供应商目的地及责任人。与源系统核对答案，包括空结果、陈旧及歧义情况。直接请求禁止记录进行测试，不能只看菜单是否隐藏。

再测文件内恶意指令、到期/撤销权限、工具定义变化及供应商故障。引入写工具前，测试确切版本审批、真正无执行后果的草稿及提交后超时。先核对已有操作，再有限退避重试；防止重复承诺，并给未知结果指定负责人。拒绝或无效请求不应反复重试。

只有测试与业务价值支持才扩大访问，不是过了四周就扩大。StoreConsole 演示提供业务流程供讨论，不证明特定 MCP host、版本或权限已在你的安装中启用。

零售商周一的有用结果很简单：经理能带着时间戳核实自家门店25件获批自由库存，却不能提取所有人的数据。MCP 让两个程序理解请求；经过测试的访问政策，让这个答案恰当。

审阅于2026年11月5日。Anichur Rahaman 是 StoreConsole 创建者。零售商、库存数量及连接计数均为教学示例。