本文定位：MCP / 工具协议 / AI 安全 / Java 后端
示例环境：Java 21、Spring Boot 3.3、JSON-RPC 2.0 风格消息、OAuth2/OIDC 思路。协议实现应以目标 MCP SDK 和官方规范的当前版本为准。
摘要
MCP 解决的是模型与外部工具之间的标准化连接问题，但“标准化接入”不等于“自动安全”。当模型能够查询数据库、读取文件、创建工单或调用部署接口时，工具调用就从文本生成变成了真实业务动作。工具描述、参数校验、用户授权、租户隔离、审计记录和人工确认缺一不可。
本文不把 MCP 当成一个神奇的万能钥匙，而是把它拆成连接层、工具治理层和业务权限层，说明 Java 服务如何设计安全边界，哪些能力应该由协议适配器完成，哪些权限绝不能交给模型判断。
一、MCP 解决了什么，没解决什么
传统接入方式通常是每个 Agent 手写一套工具描述和调用适配器。工具越来越多以后，会出现重复协议、参数格式不一致、版本升级困难和审计口径不统一的问题。MCP 的价值在于为资源、提示和工具提供统一的发现与调用方式。
但它不自动解决以下问题：
- 调用者有没有权限访问某个工具。
- 工具参数是否会造成越权或注入。
- 工具返回的内容是否可信、是否含有敏感数据。
- 模型是否可以直接执行高风险动作。
- 多个低风险工具组合后是否形成高风险操作。
因此可以把 MCP 看成“工具连接协议”
