系列《从 Rule 到落地AI 工程化实践》第 14 篇标签MCP · 鉴权 · 熔断 · 安全闸门专栏从小白到AI落地大师系列《从 Rule 到落地AI 工程化实践》第 14 篇标签MCP · 鉴权 · 熔断 · 安全闸门专栏从小白到AI落地大师序言最小 MCP 亮灯了童鞋们手一抖就想接生产。别急。上线与演示的差别是多租户、凭证、滥用、误操作面全面扩大。本篇把最小实现抬到可上线鉴权、限流熔断、职责分层。用通用的 T1 到 T4 表述风险闸门不讲具体厂商控制台。说句自嘲的我有过「内部工具没关系」的幻觉。内部工具一旦能被助手高频误点破坏速度比外部攻击还整齐。关系大了去了。概念AuthN你是谁。AuthZ你被允许做什么。熔断错误率过高时暂时打开电路保护下游并半开恢复。风险分级从 T1 只读到 T4 双人与工单的工具分层。审计记录谁、何时、调了什么、结果码。可以理解为门禁分身份证、权限单、限流阀、风险电梯层。电梯到 T4 要两个人的钥匙——麻烦但是睡觉的前提。问题在哪上线翻车常见四种。MCP 做成业务大杂烩危险操作直接在进程里干完失控时没法收口。只做 AuthN 不做 AuthZ认得你是谁但你能干嘛没有边界。没有熔断下游抖一下助手重试把它锤死。审计缺字段出事只能搜聊天记录——又回到开篇批评的记忆幻觉。举例职责边界MCP 做暴露与闸门危险操作转发到受控后端。鉴权分层身份 → 角色 → 工具级授权 → 资源级条件。工具风险标注示意- health: T1, auth: service - list_fixtures: T1, auth: user - run_safe_task: T2, auth: user, dry_run_default: true - apply_mapping: T3, auth: userconfirm - prod_failover: T4, auth: dual_control熔断伪代码丑而有用错误率超过阈值就 open半开探测成功再 close。审计最小集谁、何时、调了什么、参数哈希、结果码、correlation id。参数别原样落日志——哈希即可防泄密。虚构的 ops-gate-mcp 上线前把 T3 以上默认确认T4 走双人后来一次误触生产切换停在确认板复盘标题很短闸门值回票价。自检# 上线级 MCP 自检 - [ ] 是否画出 T1–T4 闸门分层 - [ ] 每个工具是否标注风险与鉴权要求 - [ ] 是否有熔断与限流策略 - [ ] 审计字段是否含 correlation id 与参数哈希 - [ ] 危险操作是否转发受控后端而非 MCP 内硬干两问。第一T4 动作能否在无人确认时被调用能就还不是上线级。第二下游错误风暴时助手是帮你熔断还是帮你加压后者请先补电路。审计日志要当产品功能做而不是出事时的补丁。没有审计的闸门就像没有行车记录仪的刹车——有用但扯皮时很吃亏。T1 到 T4 的名字不重要层级是否单调递增才重要。允许跳级调用的分级只是一张安慰剂表格。最小观测字段表贯穿编排 / MCP / 测试 / lesson后面排障请统一用这张表别各写各的字段名字段含义谁写correlation_id一次用户意图的全链路 id编排入口command/skill命中的路由路由层toolMCP 工具名协议层risk风险级Manifest / 工具元数据decisionallow / deny / confirm门禁test_case_idYAML / E2E 用例 id测试执行器lesson_id审核通过的教训 id记忆层日志里能靠correlation_id串起「谁点的菜 → 用了哪本手册 → 调了哪个工具 → 哪条测试红了 → 沉淀哪条 lesson」你才算有黑匣子而不是只有报警器。T1–T4 可以这么落地T1 只读、T2 写隔离环境、T3 写共享非生产、T4 碰生产或密钥。默认 dry-run 属于把 T3/T4 的真写挡住。熔断不是「多试几次」而是连续拒绝/超时后冷却并要求人工复位。可以理解为漏电保护跳闸后不该用更大的铜丝绕过去。鉴权最小集身份谁在调、范围能调哪些工具、时效token 过期、审计每次调用落盘。缺审计的鉴权出事只能猜。把decisiondeny的样本每周抽查一次能发现「权限过宽」比等到事故更早。职责边界一句话MCP 负责「能调用」Rule/门禁负责「该不该」Skill 负责「怎么做」。三层互相替代就会有一层假装自己是另外两层。读到这里不妨立刻做一个五分钟动作打开你们仓库找到与本篇对应的那个目录没有就新建把文中最小示意落成真实文件名。文件在讨论才有坐标文件不在下周还会从「我们觉得」开始。第 14 篇的验收不是「读完」是「仓库里多了一份可指出的东西」。举例加长熔断参数起步值连续 5 次 deny/timeout → 冷却 10 分钟 → 需人工reset_breaker。起步值可以丑但必须写进配置。没有数字的熔断只是形容词。上线前演练一道题假装有人误点prod_failover。期望结果是停在双人确认审计里能看到actor、correlation_id、params_hash且 MCP 进程内没有真正切流量。演练不过不许扩工具列表——列表越长裸奔面积越大。思考小结三句。上线级 MCP 的核心是分层授权与可审计。工具按风险分级默认保守。熔断保护的是系统与人不是冷冰冰的指标。可以理解为灯亮之后先装漏电保护再谈更多电器。下篇实操把 MCP 接到 IDE配置、调试、失败排障清单。下篇预告《把 MCP 接到 IDE配置、调试、失败怎么排》——接不上先别怪模型多半是路径和环境。觉得有用的话欢迎点赞、留言晒你的风险分级表有「内部工具误触」的惊魂夜也欢迎对照闸门拆。专栏从小白到AI落地大师《从 Rule 到落地AI 工程化实践》