教程文档人工智能【免费下载链接】mcp-for-beginnersThis open-source curriculum introduces the fundamentals of Model Context Protocol (MCP) through real-world, cross-language examples in .NET, Java, TypeScript, JavaScript, Rust and Python. Designed for developers, it focuses on practical techniques for building modular, scalable, and secure AI workflows from session setup to service orchestration.项目地址https://gitcode.com/GitHub_Trending/mc/mcp-for-beginners点击查看免费下载本指南以 mcp-for-beginners 课程 02-Security/mcp-security-best-practices.md 为骨架系统讲解基于MCP Specification 2026-07-28的安全最佳实践从强制安全条款、令牌与状态句柄安全到提示词注入、工具投毒等 AI 特有威胁的防御再到 OAuth 2.1/Confused Deputy 防护与供应链安全。读者完成本篇后将掌握一套可直接落地的分层安全控制清单并能在本仓库的 TypeScript 授权示例中看到令牌校验、CIMD/DCR 客户端注册与基于 scope 的工具级授权是如何用真实代码实现的。MCP 为何需要一套超出传统软件安全的防护体系Model Context ProtocolMCP为 AI 应用带来了强大的工具与数据接入能力同时也引入了传统软件安全之外的独特风险。与经典 Web 安全相比MCP 系统不仅要应对安全编码、最小权限、供应链安全等既有问题还面临一系列 AI 特有威胁提示词注入Prompt Injection恶意指令被嵌入外部内容诱导 AI 执行非预期动作工具投毒Tool Poisoning攻击者篡改工具定义元数据使 LLM 做出错误的执行决策状态句柄劫持State-Handle Hijacking跨用户复用或猜测可预测的状态标识Confused Deputy 问题MCP 服务器在客户端与第三方服务之间充当认证代理时被利用令牌透传漏洞Token Passthrough服务器未经校验转发上游令牌绕过安全控制、破坏审计链。本篇围绕这些威胁逐一给出与 MCP 2026-07-28 规范及 OWASP MCP Top 10 对齐的控制措施。所有实践与 OWASP MCP Azure Security Guide 保持一致可用于 Azure 场景的落地实现更系统的学习可参加 MCP Security Summit Workshop (Sherpa)通过 漏洞 → 利用 → 修复 → 验证 的方式获得实操经验。来自规范的强制安全要求MUST 条款MCP 2026-07-28 规范在授权与安全部分给出了四条不可妥协的硬性要求它们是所有后续实践的总纲要求内容MUST NOTMCP 服务器不得接受任何并非显式签发给该 MCP 服务器的令牌MUST实现授权的 MCP 服务器必须验证所有入站请求MUST NOTMCP 服务器不得将会话session用于身份认证MUST使用静态第三方客户端 ID 的 MCP 代理服务器必须在转发授权前为每个 MCP 客户端取得同意consent其中令牌不得透传与会话不得用于认证是两条最容易被忽略、但后果最严重的红线本指南后续章节将反复围绕它们展开。1. 令牌安全与身份认证认证与授权控制严格的授权审查对 MCP 服务器的授权逻辑进行全量审计确保只有预期的用户与客户端能够访问资源授权逻辑一旦出现缺陷可能直接导致敏感数据泄露或访问控制被错误应用。外部身份提供方集成优先使用成熟的身份提供方如 Microsoft Entra ID完成认证而不是自研认证实现。规范允许 MCP 服务器将认证委托给外部身份提供方HTTP 传输的授权按请求逐个评估本地 stdio 服务器则从运行环境中获取凭据。令牌受众校验始终验证令牌确实签发给当前 MCP 服务器绝不接受上游令牌。MCP01令牌管理不善与机密泄露与MCP07认证与授权不足是 OWASP MCP Top 10 中最常见的问题类别。完整的令牌生命周期实施安全轮换、过期策略并防止令牌重放攻击。受保护的令牌存储使用 Azure Key Vault 或同类安全凭据仓库保存全部机密对令牌同时实施静态加密与传输加密定期轮换凭据并对未授权访问保持监控。从 CIMD 与 DCR 授权示例 的源码可以看到令牌校验在工程上是如何落地的。该示例的 oauth.ts 使用jose库通过授权服务器的 JWKS 端点验证 JWTreturn { async verifyAccessToken(token: string): PromiseAuthInfo { const { payload } await jwtVerify(token, jwks, { issuer: options.issuer, audience: options.audience, algorithms: [options.algorithm] }); // 必须包含 client_id或 azp与 exp 声明 const clientId stringClaim(payload, client_id) ?? stringClaim(payload, azp); if (!clientId || !payload.exp) { throw new Error(Token must contain client_id (or azp) and exp claims); } return { token, clientId, scopes: scopesFrom(payload), expiresAt: payload.exp }; } };这段代码实现了签发者issuer、受众audience、签名算法、过期时间的四重强制校验——正是本节要求的只接受签发给本服务器的令牌的代码级体现。相关 YAML 级配置要求在 mcp-security-controls.md 中有更完整的表述Token Validation Requirements: audience_validation: MANDATORY issuer_verification: MANDATORY signature_check: MANDATORY expiration_enforcement: MANDATORY scope_validation: MANDATORY Token Lifecycle Management: rotation_frequency: Short-lived tokens preferred secure_storage: Azure Key Vault or equivalent transmission_security: TLS 1.3 minimum replay_protection: Implemented via nonce/timestamp令牌透传被明令禁止的反模式令牌透传在现行 MCP 授权规范中被明确禁止因为它会带来四类严重后果绕过安全控制MCP 服务器与下游 API 依赖正确校验令牌才能实施限流、请求校验与流量监控客户端直连式透传会绕开这些关键防护审计与问责失效服务器无法区分使用上游令牌的客户端下游资源服务器的日志会显示误导性的请求来源事件调查与合规审计变得极为困难数据外泄风险未经验证的令牌声明使攻击者可借 MCP 服务器充当数据外泄代理越权访问绕过既定安全控制多服务横向移动被多个服务接受的失陷令牌可导致攻击在互联系统中横向扩散。因此本节与 mcp-security-controls.md 均强调服务器不得接受未显式签发给自身的令牌必须校验受众声明并使用短生命周期令牌配合安全轮换。2. 状态句柄与传输安全MCP 2026-07-28 在协议层是无状态的应用若要跨请求保存状态通常由某个工具调用返回一个显式句柄并在后续调用中把它作为普通参数传回。这种设计带来了状态句柄劫持的威胁面句柄猜测可预测的标识暴露其他调用者的状态跨用户复用窃取的句柄被用于不同的身份隐式授权误把持有句柄当作有权访问。安全状态句柄实践不透明状态句柄使用安全、非确定性的句柄承载跨请求的应用状态用户绑定在服务端将句柄绑定到已认证主体拒绝跨用户复用绝不信任客户端提供的用户 ID生命周期管理设置句柄过期与撤销机制缩短漏洞暴露窗口逐请求授权绝不把状态句柄当作认证凭据每个出示句柄的请求都必须重新授权——句柄是名字不是凭据。mcp-security-controls.md 给出了可操作的状态句柄生成参数State Handle Generation: randomness_source: Cryptographically secure RNG entropy_bits: 128 # Minimum recommended format: Base64url encoded predictability: MUST be non-deterministic State Binding: user_binding: Bind server-side to the authenticated principal authorization: Recheck on every request client_input: Never trust a client-supplied user ID State Lifecycle: expiration: Configurable timeout policies rotation: After privilege escalation events invalidation: Immediate on security events cleanup: Automated expired state removal状态应独立于任何单一传输连接存储并为过期句柄定义恢复行为。传输层安全生产环境的远程 HTTP 传输必须使用 HTTPS本地 stdio 服务器通过进程隔离 环境凭据加以保护stdio 服务器从环境而非网络获取凭据配置现代 TLS并做好证书轮换与校验。3. AI 特有威胁防护这是 MCP 安全与传统软件安全差异最大的部分对应 OWASP MCP Top 10 中的MCP06意图流颠覆、MCP03工具投毒与MCP05命令注入与执行。提示词注入防御间接提示词注入跨域提示词注入是 MCP 体系中最危险的漏洞之一攻击者把恶意指令藏在文档、网页、邮件或数据源中AI 系统随后把它们当作合法指令处理。典型攻击场景包括基于文档的注入恶意指令隐藏在待处理文档中触发非预期 AI 动作Web 内容利用被攻陷网页内嵌提示词AI 抓取时被操控邮件攻击邮件中的恶意提示词诱导 AI 助手泄露信息或执行未授权操作数据源污染被攻陷的数据库或 API 向 AI 系统投喂带毒内容。防御手段包括Microsoft Prompt Shields部署高级检测与过滤利用机器学习与 NLP 实时分析文档、网页、邮件与数据源中潜藏的攻击指令并区分合法与恶意的提示模式输入清洗对所有输入进行校验与净化防止注入攻击与 Confused Deputy 问题内容边界使用分隔符delimiter与数据标记datamarking系统区分可信指令与外部内容配合Spotlighting 技术区分可信系统指令与可能被攻陷的外部输入保持正确的指令层级instruction hierarchy输出监控检测可能被操控或有害的模型输出。工具投毒预防工具投毒针对定义 MCP 工具的元数据下手利用 LLM 依据工具描述与参数做执行决策的特性元数据操控向工具描述、参数定义或使用示例中注入恶意指令隐形指令藏在工具元数据中、对用户不可见但会被模型处理动态工具修改Rug Pulls用户已批准的工具事后被改成执行恶意动作——远程托管服务器的工具定义可在用户批准后更新使曾经安全的工具变成恶意工具参数注入工具参数 schema 中嵌入影响模型行为的恶意内容。防御框架详见 mcp-security-controls.mdTool Definition Protection: validation: - Schema validation against expected formats - Content analysis for malicious instructions - Parameter injection detection - Hidden instruction identification integrity_verification: - Cryptographic hashing of tool definitions - Digital signatures for tool packages - Version control with change auditing - Tamper detection mechanisms monitoring: - Real-time change detection - Behavioral analysis of tool usage - Anomaly detection for execution patterns - Automated alerting for suspicious modifications配套的动态工具管理要求工具修改必须经显式用户审批、支持回滚、保留完整的变更审计并做自动化风险评分。其他 AI 攻击向量跨域提示词注入XPIA利用多域内容绕过安全控制的高级攻击动态能力修改实时改变工具能力以逃过初始安全评估上下文窗口投毒操纵大型上下文窗口以隐藏恶意指令模型混淆攻击利用模型局限制造不可预测或不安全行为。这些攻击可能造成数据外泄、隐私泄露、系统被篡改、凭据被窃以及以被攻陷的 AI 系统为跳板的横向移动。4. 访问控制与权限管理最小权限原则只授予 MCP 服务器实现预期功能所需的最小权限实施细粒度 RBAC基于角色的访问控制把角色严格限定到具体资源与动作避免扩大攻击面的宽泛权限定期做权限复查持续监控提权迹象及时回收过剩或闲置权限。运行时权限控制施加资源上限防止资源耗尽攻击使用容器隔离工具执行环境对管理功能实施JITJust-In-Time临时访问。针对工具执行环境mcp-security-controls.md 给出了沙箱化的具体参数对应 OWASPMCP05命令注入与执行Execution Environment: containerization: Docker/Podman with security profiles resource_limits: cpu: Configurable CPU quotas memory: Memory usage restrictions disk: Storage access limitations network: Network policy enforcement privilege_restrictions: user_context: Non-root execution mandatory capability_dropping: Remove unnecessary Linux capabilities syscall_filtering: Seccomp profiles for syscall restriction filesystem: Read-only root with minimal writable areas文件系统仅保留最小必需目录尽可能只读、网络访问使用显式白名单并做 DNS/端口限制、系统资源禁止提权与硬件访问——这些都是最小权限在工具执行层的落地。5. 内容安全与监控内容安全实现Azure Content Safety 集成检测有害内容、越狱jailbreak尝试与策略违规其检测模型覆盖恶意指令识别、威胁模式识别与内容过滤并可接收持续更新的威胁情报行为分析对 MCP 服务器与工具执行做运行时行为监控发现异常综合日志记录全部认证尝试、工具调用与安全事件并存入防篡改的安全存储。仓库中的 azure-content-safety-implementation.md 提供了 Azure Content Safety 的实战集成示例可进一步参考其代码实现。持续监控对可疑模式与未授权访问尝试做实时告警集成 SIEM安全信息与事件管理系统做集中化事件管理定期开展安全审计与针对 MCP 实现的渗透测试。在日志维度mcp-security-controls.md 建议至少覆盖三类事件对应 OWASPMCP08缺乏审计与遥测认证事件全部成功/失败认证、令牌签发与校验、会话创建/修改/终止、授权决策与策略评估工具执行调用细节与参数、执行时长与资源占用、输出生成与内容分析、错误与异常安全事件可疑提示词注入尝试、工具投毒检测、会话劫持指标、异常访问模式。行为分析层面可使用用户行为分析UBA、实体行为分析EBA、机器学习异常检测与威胁情报关联。6. 供应链安全供应链安全在 AI 时代已从传统软件依赖扩展到整个 AI 生态每个环节都可能引入破坏系统完整性的漏洞。除开源库、容器镜像、构建工具等传统依赖外还需要把以下 AI 组件纳入同等防护力度基础模型需验证来源 provenanceEmbedding 服务与语义检索服务上下文提供方数据源、知识库、文档仓库第三方 AI API 与数据处理端点模型工件权重、配置、微调变体训练数据源。组件验证依赖扫描对全部软件依赖与 AI 组件做自动化漏洞扫描来源验证核实模型、数据源与外部服务的来源、许可与完整性签名包使用密码学签名包并在部署前验证签名。安全开发流水线GitHub Advanced Security实施 secret 扫描、依赖分析与 CodeQL 静态代码分析CI/CD 安全把安全验证内嵌到自动化部署流水线工件完整性对部署工件与配置实施密码学验证。mcp-security-controls.md 还补充了 SBOM软件物料清单、包签名验证、模型行为测试、对抗鲁棒性评估以及第三方 API 的安全评估与事件响应能力考察对应 OWASPMCP04供应链攻击与依赖篡改。7. OAuth 安全与 Confused Deputy 防护Confused Deputy 问题当 MCP 服务器在客户端与第三方服务之间充当认证代理时若使用静态客户端 ID就可能出现授权绕过基于 Cookie 的同意绕过此前用户认证留下的 consent cookie被攻击者利用恶意授权请求与构造的 redirect URI 复用授权码窃取既有 consent cookie 使授权服务器跳过同意页把授权码重定向到攻击者控制的端点未授权 API 访问窃取的授权码可换取令牌、冒用用户身份。OAuth 2.1 实施要点PKCE所有授权请求使用 Proof Key for Code ExchangeS256客户端注册优先使用Client ID Metadata DocumentsCIMD或预注册已废弃的Dynamic Client RegistrationDCR仅作兼容性回退显式同意使用静态第三方客户端 ID 的 MCP 代理必须在转发授权前为每个 MCP 客户端取得同意Redirect URI 校验对重定向 URI 与客户端标识做严格白名单校验授权码保护短生命周期、单次使用监控授权码窃取与未授权 API 访问。仓库内的工程化参考CIMD 与 DCR 授权示例本仓库的 CIMD 和 DCR 授权示例 是一个可运行的 TypeScript 资源服务器专门对比两种客户端注册机制CIMD推荐用稳定的 HTTPS URL 作为client_id适合与授权服务器没有预先关系的客户端DCR兼容回退运行时让授权服务器铸造不透明客户端 IDMCP 2026-07-28 仅将其保留用于向后兼容。示例的注册优先级为已有预注册信息 → 服务器通告client_id_metadata_document_supported: true时用 CIMD → 服务器通告registration_endpoint时用 DCR 回退 → 以上均不可用时要求用户提供预注册信息。registration.ts 中的分类逻辑值得关注仅当client_id是带路径的 HTTPS URL无用户信息、无查询串、无片段时才判定为 CIMD不透明 ID 若匹配可选的DCR_CLIENT_ID_PREFIX才判定为 DCR否则如实报告为opaque-client-id——因为标准令牌声明无法区分 DCR 与预注册。mcp.ts 展示了在工具内部强制 OAuth scope的做法greet工具在执行前检查authInfo.scopes是否包含tool:greet否则返回insufficient_scope错误。这正是按工具细粒度授权 最小权限的代码级示范。该示例还演示了令牌校验端到端链路oauth.ts 从授权服务器元数据强制校验issuer、authorization_endpoint、token_endpoint、jwks_uri的 HTTPS 与存在性config.ts 规定除回环地址开发外一律要求 HTTPSserver.ts 用requireBearerAuth包住/mcp路由所有入站请求都先验令牌再交给 MCP 处理器。8. 事件响应与恢复快速响应能力自动化响应凭据轮换与威胁遏制自动化——立即终止会话、账户锁定、撤销访问权限系统隔离网络分段激活、服务隔离协议、通信信道限制回滚程序快速回退到已知良好配置与组件取证能力详尽的审计轨迹与日志支持事件调查审计日志需具备密码学完整性支持时间线重建与影响评估。恢复流程还包括自动令牌刷新、API 密钥重新生成、证书续期以及干净状态恢复、配置回滚与服务重启。沟通与协调明确的安全事件升级流程与组织事件响应团队集成定期开展安全事件模拟与桌面演练tabletop exercises。9. 合规与治理法规合规确保 MCP 实现满足行业特定要求如 GDPR、HIPAA、SOC 2数据分类与隐私对 AI 数据处理实施数据分类与隐私控制遵循 privacy-by-design审计文档为合规审计维护完整文档与审计轨迹变更管理所有 MCP 系统修改都经过正式安全评审配置变更走版本控制与审批流定期做合规评估与差距分析。10. 高级安全控制零信任架构Never Trust, Always Verify对用户、设备与连接持续验证微隔离用细粒度网络控制隔离单个 MCP 组件条件访问基于当前上下文与行为做风险自适应访问控制。运行时应用保护RASP部署运行时应用自我保护技术做实时威胁检测应用性能监控监测可能预示攻击的性能异常动态安全策略根据当前威胁态势动态调整策略。11. Microsoft 安全生态集成综合安全套件Microsoft Defender for Cloud面向 MCP 工作负载的云安全态势管理Azure Sentinel云原生 SIEM/SOAR为 AI 工作负载提供高级威胁检测Microsoft Purview面向 AI 工作流与数据源的数据治理与合规。身份与访问管理Microsoft Entra ID企业身份管理 条件访问策略天然继承 MFA 与风险自适应认证能力Privileged Identity ManagementPIM管理功能的 JIT 访问与审批工作流Identity Protection基于风险的条件访问与自动化威胁响应。安全模块总览 中提供了 OWASP MCP Top 10 与 Azure 缓解措施的完整对照表如MCP01→Key Vault/Managed Identity、MCP07→Entra ID/OAuth 2.1 PKCE 等可作为本节的配套速查。12. 持续安全演进保持与时俱进规范监控定期跟踪 MCP 规范更新与安全指南变化可对照 01-CoreConcepts/mcp-2026-07-28.md 了解授权变更全貌威胁情报集成 AI 专属威胁源与失陷指标IoC社区参与参与 MCP 安全社区与漏洞披露计划。自适应安全机器学习安全用 ML 异常检测识别新型攻击模式预测性安全分析建立预测模型做前瞻性威胁识别安全自动化基于威胁情报与规范变更自动更新安全策略。关键安全资源与仓库导航MCP 安全实践演进迅速实施前务必对照现行 MCP 规范与官方安全文档核实。以下为与本文直接相关的仓库内资源MCP 安全控制本文 YAML 控制清单令牌校验、状态句柄、工具防护、沙箱化、日志策略、事件响应的完整来源并按 OWASP MCP Top 10 逐项对齐MCP 最佳实践速查涵盖输入校验、通信协议、限流与资源保护、加密存储、零信任、隐私保护 AI 等 12 类核心实践的速查清单Azure Content Safety 实现Azure Content Safety 的落地代码示例CIMD 与 DCR 授权示例可运行的 TypeScript MCP 2026-07-28 资源服务器源码位于 src 目录配套 12 个测试test 目录使用本地密钥与 mock HTTP 端点验证 CIMD 文档形状、JWT 五重校验、不安全 DCR 端点拒绝等行为无需真实授权服务器账号即可运行安全模块总览OWASP MCP Top 10 对照表、Sherpa 训练营路线Base Camp → Summit与授权演进史MCP 2026-07-28 规范变更iss参数校验RFC 9207、凭据绑定、DCR 弃用等授权变更的完整说明。核心要点回顾分层防御把基础安全实践安全编码、最小权限、供应链验证、持续监控与 AI 特有控制结合形成纵深防御AI 威胁全景提示词注入、工具投毒、会话劫持、Confused Deputy、令牌透传与过度授权都需要专门缓解认证与授权卓越用外部身份提供方Entra ID做认证严格令牌校验绝不接受非签发给本服务器的令牌令牌安全原则杜绝令牌透传反模式校验受众声明使用短生命周期令牌并安全轮换保持清晰的信任边界AI 攻击防御部署 Prompt Shields 与 Azure Content Safety校验工具元数据并监控动态变更会话与传输安全密码学安全、非确定性的会话 ID 绑定用户身份妥善管理生命周期永不用会话做认证OAuth 最佳实践对动态注册客户端显式取得同意实施带 PKCE 的 OAuth 2.1严格校验 redirect URI防止 Confused Deputy供应链全覆盖把模型、Embedding、上下文提供方、外部 API 视为与传统依赖同等重要的防护对象持续演进随着协议成熟跟踪规范变化、贡献社区标准、保持自适应安全姿态Microsoft 生态集成利用 Prompt Shields、Azure Content Safety、GitHub Advanced Security、Entra ID 增强 MCP 部署防护。下一步可阅读 MCP 安全控制 获取可执行的控制清单返回 安全模块总览 复习 OWASP MCP Top 10或进入 模块 3开始入门 学习 MCP 的实操搭建。赞分享教程文档人工智能【免费下载链接】mcp-for-beginnersThis open-source curriculum introduces the fundamentals of Model Context Protocol (MCP) through real-world, cross-language examples in .NET, Java, TypeScript, JavaScript, Rust and Python. Designed for developers, it focuses on practical techniques for building modular, scalable, and secure AI workflows from session setup to service orchestration.项目地址https://gitcode.com/GitHub_Trending/mc/mcp-for-beginners点击查看免费下载相关推荐MCP 安全防护实战指南mcp-for-beginners 中的威胁建模、认证授权与纵深防御MCP 安全防护实战指南mcp for beginners 中的威胁建模、认证授权与纵深防御 导读 本文以 mcp for beginners 课程的安全模教程文档人工智能OWASP CheatSheetSeries 文件上传安全指南威胁分析、纵深防御与实战防护清单OWASP CheatSheetSeries 文件上传安全指南威胁分析、纵深防御与实战防护清单 文件上传已成为现代 Web 应用的基础功能——用户上传照片、简应用安全MCP 2026-07-28 规范深度解读无状态传输层、扩展框架与弃用策略mcp-for-beginnersMCP 2026 07 28 规范深度解读无状态传输层、扩展框架与弃用策略mcp for beginners MCPModel Context Prot教程文档人工智能上一篇Hugo 中的 css.Build基于 esbuild 的 CSS 打包、转换与压缩完整指南下一篇oh-my-openagent 推理统一迁移落地配置校验与 doctor 扫描边界的 RED 证据解析创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考