MCP 配置文件的安全坑：别只顾着复制粘贴

最让我质疑的是，MCP 的 STDIO 传输机制在设计之初似乎就忽略了基础的输入过滤。这意味着如果你的配置文件被篡改，或者你引入了一个有问题的第三方服务器，攻击者可以直接在宿主机执行任意 shell 命令。这不是某个具体插件的 bug，而是 SDK 层面的设计决策，涵盖了 Python、TypeScript 等所有主流版本。

在公司的实际落地中，MCP 确实把“连接数据库/API”的成本降到了极低，但这种便利是以牺牲审核流程为代价的。以前写个集成得过两轮 Code Review，现在一个 JSON 块就搞定了，权限开得大且缺乏门控。

如果你现在就在用 MCP，建议用下面这个命令自查一下你的配置文件，看看哪些服务器是通过 STDIO 运行且包含敏感环境变量的：

# 检查配置中通过 STDIO 运行且可能暴露凭据的服务器
jq -r '.mcpServers | to_entries[] | select(.value.command != null) | .key' ~/.config/*/mcp.json 2>/dev/null

对于企业内部部署，我建议在 mcp.json 中严格限制环境变量的权限，尽量避免直接在配置文件里写死 DATABASE_URL 这种高权限凭据。

一个典型的风险配置示例：

{
 "mcpServers": {
 "postgres-prod": {
 "command": "npx",
 "args": ["-y", "@some/postgres-mcp-server"], 
 "env": {
 "DATABASE_URL": "postgres://user:pass@prod-host:5432/db" 
 }
 }
 }
}

这种配置一旦被恶意包劫持，整个生产数据库就相当于裸奔。在追求提效的同时，千万别把安全审计给“压缩”掉了。