Cursor Salesforce 插件实战基于 Salesforce Hosted MCP 的 SOQL/SOSL 与记录读写集成指南【免费下载链接】pluginsCursor plugin specification and official plugins项目地址: https://gitcode.com/GitHub_Trending/plugins125/plugins本篇文章围绕 Cursor 官方插件市场中的 Salesforce 插件third_party/salesforce/展开该插件 1.0.0 版本的核心实现是通过 Salesforce 官方托管的 Model Context ProtocolHosted MCP服务把 Cursor 的 Agent 接入你的 Salesforce 组织。读完本文你将掌握插件的 MCP 配置与两个插件变量的含义、External Client App 与 OAuth 作用域的正确配置方法、Hosted MCP 服务器 URL 的选择逻辑以及常见认证报错的排查思路从而让 Agent 在用户自身权限与字段级安全约束下安全地执行 SOQL/SOSL、查看对象结构、遍历关系并增删改记录。一、插件是什么一个 CHANGELOG 背后的完整集成在仓库中third_party/salesforce/目录是 Salesforce 插件的完整独立目录。其 CHANGELOG.md 记录了 1.0.0initial release的四项核心交付Logo采用 Salesforce 官方云端标识置于透明 192×192 画布并留有内边距在浅色和深色背景下都能清晰辨识文件位于 third_party/salesforce/assets/logo.svgMCP 服务器新增由 Salesforce Hosted MCP 支撑的salesforceMCP 服务器插件变量声明了SALESFORCE_MCP_URL与CLIENT_ID两个插件变量使每个组织都能指向自己的服务器和 External Client AppOAuth 作用域将授权作用域固定为mcp_api与refresh_token两个不申请更宽的权限。这四条变更在仓库中都有对应的实体文件支撑MCP 服务器定义在 third_party/salesforce/mcp.json两个插件变量的完整声明标题、描述、是否必填位于 third_party/salesforce/.cursor-plugin/plugin.json而完整的安装与排障流程记录在 third_party/salesforce/README.md。二、MCP 配置与插件变量一个 URL 和一个 Consumer Key2.1 mcp.json 配置结构salesforce服务器采用 HTTP 类型的 MCP 服务器配置如下见 third_party/salesforce/mcp.json{ mcpServers: { salesforce: { type: http, url: ${SALESFORCE_MCP_URL}, auth: { CLIENT_ID: ${CLIENT_ID}, scopes: [mcp_api, refresh_token] } } } }type: http表示这是一个通过 HTTPS 访问的远程 MCP 服务器而不是本地进程型stdio服务器url与CLIENT_ID均使用${VARIABLE}占位符形式安装插件后由用户在 Cursor 的插件配置界面填入实际值这正对应 CHANGELOG 中“每个组织可以指向自己的服务器和 External Client App”的设计目标scopes固定为mcp_api和refresh_token与 CHANGELOG 第 1.0.0 条记录的 OAuth 作用域完全一致。2.2 两个插件变量的语义根据 plugin.json 中variables字段的完整声明插件需要用户配置两个必填变量变量含义取值来源SALESFORCE_MCP_URLSalesforce MCP server URLSetup → MCP Servers 中激活服务器后复制CLIENT_IDSalesforce Consumer KeySetup → External Client App Manager → 应用 → Settings → Consumer Key and Secret其中SALESFORCE_MCP_URL的取值因组织类型不同而有标准与自定义两套形态CLIENT_ID则是你为集成创建的外部客户端应用的 Consumer Key两者共同决定了“连到哪个组织的哪个服务器、以哪个应用身份授权”。对照仓库根目录的 schemas/plugin.schema.json 可以看到variables是 Cursor 插件清单的正式字段定义为 JSON Schema 对象可声明properties与requiredmcpServers字段则允许以路径此处为./mcp.json或内联对象形式给出——本插件正是通过mcpServers: ./mcp.json把独立配置文件挂载进清单的。三、安装与激活两种方式按 README.md 的说明安装插件有两种途径打开Cursor Settings → Plugins搜索Salesforce点击Install随后按提示设置服务器 URL、Consumer Key 并完成 Salesforce 登录在聊天中直接运行/add-plugin salesforce。安装完成后仍需在Dashboard → Plugins → Configure中完成第三步配置见下文第五节。四、Setup 全流程External Client App 与 Hosted MCP 服务器Salesforce Hosted MCP 的鉴权链路与普通的 Connected App 不同它要求使用External Client AppConnected Apps 不受支持。完整的 Setup 分三步每一步都是本插件能否工作的前提。4.1 创建 External Client App在 Setup 中进入External Client App Manager → New External Client App填写基本信息后展开API (Enable OAuth Settings)并勾选Enable OAuth。这里需要逐项核对四个要点1回调 URL 按使用场景配置Cursor 在不同界面使用的回调地址不同建议把用到的都加上使用场景回调 URLDesktophttp://localhost:8787/callbackWeb 与 Cloud Agentshttps://www.cursor.com/agents/mcp/oauth/callback旧版桌面构建cursor://anysphere.cursor-mcp/oauth/callback2OAuth 作用域恰好两个不多不少在OAuth Scopes下只勾选以下两项不要勾选更宽的权限Access Salesforce hosted MCP servers对应mcp_apiPerform requests at any time对应refresh_token即offline_accessREADME 特别提醒作用域选择器按描述文字而非取值显示refresh_token很容易被漏选。缺少它插件将无法刷新令牌访问令牌过期后每个用户都要重新认证。同时不要添加Full accessfullHosted MCP 不需要它。3Security 选项必须启用 JWT 命名用户令牌在Security下选择Issue JSON Web Token (JWT)-based access tokens for named users。这是强制项若不启用Salesforce 会签发不透明令牌导致每个工具调用都报JWT Token is required。同时保持Require Secret for Web Server Flow关闭——Cursor 以公共客户端身份使用 PKCE 认证不涉及 client secret。也不要启用JWT Bearer Flow那是另一个需要证书的特性。4复制 Consumer Key完成后从Settings → Consumer Key and Secret复制Consumer Key这就是插件变量CLIENT_ID的值。新建的 External Client App 最长可能需要 30 分钟才能完成传播。在传播完成前认证会报invalid_client_id此时应等待而不是重建应用。4.2 激活 MCP 服务器并复制 URL在 Setup 中打开MCP Servers激活目标服务器并复制Server URL。URL 本身编码了组织类型与服务器类型组织类型标准服务器自定义服务器Production、Developer、Enterprisehttps://api.salesforce.com/platform/mcp/v1/platform/sobject-allhttps://api.salesforce.com/platform/mcp/v1/custom/myserverSandbox 或 scratchhttps://api.salesforce.com/platform/mcp/v1/sandbox/platform/sobject-allhttps://api.salesforce.com/platform/mcp/v1/sandbox/custom/myserverSalesforce 提供多个“爆炸半径”不同的标准服务器sobject-reads只读、sobject-mutations读取 创建与更新、sobject-deletes、以及sobject-all全部能力。README 的建议是把插件指向能满足任务的最小权限服务器。插件清单plugin.json中SALESFORCE_MCP_URL变量描述的默认示例正是 Production 下的sobject-all与 Sandbox 下的sandbox/platform/sobject-all并指出自定义服务器将路径中的platform/替换为custom/即可。4.3 配置插件并完成登录在Dashboard → Plugins → Configure中设置Salesforce MCP server URL填入上一步复制的 URL设置Salesforce Consumer Key填入 4.1 复制的 Consumer KeyCursor 弹出登录提示时完成 Salesforce 登录。若是在团队市场team marketplace中分发管理员只需为所有人配置一次这两个值但每个成员仍需独立认证因此所有工具调用都以**该成员自己的对象权限与字段级安全FLS**执行——这正是 README 所述“run SOQL and SOSL, inspect object schemas, traverse relationships, and create, update, or delete records — all under the signed-in users own permissions and field-level security”的实现机制。五、Agent 能做什么能力边界按 README 的说明接入后 Agent 可以在用户权限边界内完成以下操作运行SOQL与SOSL查询查看对象结构object schemas与字段定义遍历对象间的关系relationships创建、更新或删除记录。所有请求都通过 OAuth 以登录用户的身份执行因此既受组织级权限控制也受字段级安全控制这是本插件安全模型的核心——插件只申请mcp_api与refresh_token两个作用域不索取full全量权限从源头控制了权限爆炸半径。六、排障速查表README 提供了一张症状与原因的对照表是配置过程中最实用的参考症状原因invalid_client_idExternal Client App 尚未完成传播等待最长 30 分钟invalid_scope应用缺少Access Salesforce hosted MCP servers或Perform requests at any time作用域登录成功后仍报JWT Token is required或Invalid token未启用Issue JSON Web Token (JWT)-based access tokens for named users认证成功但服务器 404MCP 服务器未在 Setup 中激活或 URL 的组织类型与你登录的组织不匹配这张表与 CHANGELOG 中记录的 OAuth 作用域、变量设计一一对应invalid_scope对应作用域固定为mcp_api/refresh_token的约束JWT Token is required对应 External Client App 的 Security 设置404则对应SALESFORCE_MCP_URL指向的组织类型与服务器激活状态。七、仓库中的其他佐证与扩展阅读插件清单与市场注册third_party/salesforce/.cursor-plugin/plugin.json含name、version: 1.0.0、license: MIT、category: integrations以及完整的variables定义并在根目录 README.md 的插件列表中以salesforceIntegrations 类别注册市场描述为 “Query, create, and update records in your org.”插件清单规范schemas/plugin.schema.jsonmcpServers、variables等字段的官方 Schema 定义许可证third_party/salesforce/LICENSEMITCopyright (c) 2026 Cursor同类第三方 MCP 集成插件如gong、hubspot、zoom等位于third_party/目录均采用类似的“mcp.json 插件变量 README”结构可对照学习 OAuth 型 MCP 插件的组织方式。需要说明的是本文涉及 Salesforce 侧的完整官方操作指引External Client App 创建、可用服务器清单等以 Salesforce 官方 Hosted MCP 文档为准本仓库的 README.md 是其在本插件语境下的浓缩实操版文中所有关于插件行为、变量、作用域的结论均可由上述仓库文件直接验证。【免费下载链接】pluginsCursor plugin specification and official plugins项目地址: https://gitcode.com/GitHub_Trending/plugins125/plugins创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考