MCP（Model Context Protocol）是 AI 编程工具的扩展协议，它让 OpenCode、Claude Code 能够连接外部工具和数据源——数据库、文件系统、浏览器、内部 API，几乎所有你能想到的开发资源，都可以通过 MCP 接入 AI。

适合谁读：本文面向技术负责人、DevOps 工程师和安全工程师——即企业中负责 AI 编程工具落地和团队技术治理的角色。如果你是一线开发者，阅读本文可以了解企业为什么对 MCP 接入有管控要求，以及如何正确申请和使用 MCP。

前置知识：本文假设读者已了解 MCP 基础概念（Server/Client/Tool/Resource）和 OpenCode、Claude Code 的基本使用。如需回顾，请参考本系列前序技术分享。

能力越强，风险越高。一个 MCP Server 可以读取数据库、执行终端命令、访问内部 API。如果没有管控，等于把系统控制权交给了 AI。

本文要解决的问题是：企业环境中，如何安全地接入和管理 MCP？

核心思路是两步——审批流程把控准入，部署架构管控运行。先讲为什么需要管控，再讲五阶段审批流程，然后给出一套可直接落地的企业部署方案，最后对照 OpenCode 和 Claude Code 的配置差异。

版本说明：本文基于以下版本编写。MCP 协议迭代较快，配置格式可能随版本变化，请对照你使用的版本参考本文内容。

组件	版本	说明
MCP Specification	2025-03-26	引入 Streamable HTTP 传输方式，逐步取代 SSE
OpenCode	v1.0	本地 MCP 用 type: "local"，远程用 type: "remote"
Claude Code	v2.1	本地 MCP 用 type: "stdio"，远程用 type: "http"

一、MCP 在企业环境中的安全挑战

MCP 的安全风险来自三个层面：

权限失控。 MCP Server 以本地进程运行（stdio 模式）或远程服务运行（HTTP 模式），它继承的是启动它的 AI 工具的权限。如果 MCP Server 被设计为可以读写任意文件、执行任意命令，AI 在调用这些工具时，实际上就是在操作你的系统。没有权限约束的 MCP Server，等同于给 AI 开了一扇后门。

数据泄露。 MCP Server 访问的数据会经过 AI 模型处理。当 AI 通过 MCP 读取了数据库中的用户数据、通过内部 API 获取了业务数据，这些数据就成了模型上下文的一部分。对于涉及敏感数据的场景（金融、医疗、用户隐私），这是不可接受的风险。

供应链攻击。 企业使用的 MCP Server 大部分来自开源社区或第三方开发者。第三方包的依赖链可能引入恶意代码——这不是假设，而是软件供应链中已知的攻击向量。一个被植入恶意逻辑的 MCP Server，可以在 AI 调用它时静默执行攻击。

这三个风险不是理论推演，而是企业落地 MCP 时必须正视的现实问题。解决思路不是"不用 MCP"，而是"规范地用"。

二、MCP 接入审批五阶段流程

企业需要一个标准化的审批流程，确保每个 MCP Server 在接入前都经过充分的安全评估。以下是五阶段流程：

阶段 1：需求评估

目标： 确认这个 MCP 是否真的需要。

审批的第一步不是技术评估，而是业务价值评估。常见的问题包括：

• 这个 MCP 解决的是什么问题？是否有不依赖 MCP 的替代方案？
• 如果不用这个 MCP，团队的工作效率会受到多大影响？
• 这个 MCP 的受益范围是个人还是团队？

审批要点：需求必须是具体的、可量化的。"提高开发效率"不是有效理由，"减少每次联调时的环境配置时间约 30 分钟"才是。评估通过后，申请人需要提交一份简短的 MCP 接入提案，包含使用场景、预期收益、建议的 MCP Server。

阶段 2：安全审查

目标： 评估 MCP Server 的安全风险。

安全审查是整个流程中最关键的环节，需要从以下维度进行评估：

审查结果分为三种：通过（可进入下一阶段）、有条件通过（需修复特定问题后重审）、不通过（拒绝接入并说明理由）。

安全扫描工具实操：

审查不应只靠人工检查，建议配合自动化工具进行扫描。以下是三个常用工具的使用方法：

1. npm audit（Node.js 项目必备）

# 基础扫描，输出已知漏洞列表
npm audit

# 输出 JSON 格式（便于 CI 集成和脚本解析）
npm audit --json

# 只输出严重和高危漏洞
npm audit --audit-level=high

输出解读示例：

# high  protobufjs - Prototype Pollution
# 高危：protobufjs 存在原型链污染漏洞，攻击者可利用该漏洞修改对象原型
# 修复建议：升级到 protobufjs@7.2.6 或更高版本

2. snyk test（依赖漏洞深度扫描）

# 安装 snyk（需要先注册免费账号：snyk auth）
npm install -g snyk

# 扫描当前项目的依赖漏洞
snyk test

# 扫描并输出 JSON 格式报告
snyk test --json > snyk-report.json

# 扫描 Docker 镜像（适用于容器化部署的 MCP Server）
snyk container test your-mcp-server:latest

snyk 相比 npm audit 的优势：覆盖范围更广（包括开发依赖和间接依赖），提供漏洞的 CVSS 评分和修复建议，支持 Docker 镜像扫描。

3. trivy（全能安全扫描器）

# 安装 trivy（Windows）
choco install trivy

# 扫描文件系统（MCP Server 源码目录）
trivy fs ./mcp-servers/database-mcp/

# 扫描指定类型的漏洞
trivy fs --security-checks vuln ./mcp-servers/database-mcp/

# 扫描 Git 仓库（直接扫描 MCP Server 的 GitHub 仓库）
trivy repo https://github.com/example/database-mcp-server

trivy 输出示例及解读：

database-mcp (nodejs)

Total: 3 (UNKNOWN: 0, LOW: 1, MEDIUM: 1, HIGH: 1, CRITICAL: 0)

┌──────────────────┬───────────┬──────────┬───────────────────┬───────────────┐
│     Library      │ Vulnerability │ Severity │ Installed Version │ Fixed Version │
├──────────────────┼───────────┼──────────┼───────────────────┼───────────────┤
│ express          │ CVE-2024-29041 │ HIGH    │ 4.18.0            │ 4.19.2        │
│ lodash           │ CVE-2024-0031  │ MEDIUM  │ 4.17.21           │ 4.17.21-patch │
│ debug            │ CVE-2024-22018 │ LOW     │ 4.3.4             │ 4.3.5         │
└──────────────────┴───────────┴──────────┴───────────────────┴───────────────┘

三工具对比：