MCP （Model Context Protocol） 安全方案深度调研

发布时间：2026/7/2 20:26:35

一、执行摘要MCPModel Context Protocol模型上下文协议由 Anthropic 于 2024年11月推出是连接 LLM 与外部工具、数据源的标准化协议被业界形象地比喻为AI 的 USB-C 接口[1]。随着 MCP 在 2025–2026 年被广泛采用其安全体系经历了从可选认证到企业级纵深防御的快速演进。核心发现授权框架MCP 基于 OAuth 2.1 构建强制使用 PKCE、资源指示器RFC 8707、受保护资源元数据RFC 9728构建了从身份颁发到令牌管理的完整体系[2]。威胁模型OWASP 于 2025 年发布 MCP Top 10 风险清单覆盖令牌管理不善、工具投毒、提示注入、影子服务器等十大关键威胁[3]。前向防御学术界提出 MCP-Guard 三层检测流水线在对抗性提示检测上达到 96.01% 准确率[4]。密码学安全IETF 发布 MCPS 草案draft-sharif-mcps-secure-mcp引入代理护照Agent Passport、逐消息签名、工具定义完整性保护[5]。企业实战Red Hat、Microsoft、Anthropic 等已推出企业级安全方案而国内腾讯云、阿里云也在快速跟进 MCP 安全能力建设6[8]。二、MCP 安全架构总览2.1 架构角色与攻击面MCP 定义了三个核心角色[2]MCP HostAI 应用程序如 Claude Desktop、Cursor、IDE 插件MCP Client连接一个或多个 MCP 服务器向 LLM 传递工具定义MCP Server暴露工具、资源和提示的轻量级程序独特攻击面OWASP 指出LLM 在其上下文中看到所有已连接服务器的所有工具描述——这是理解跨服务器攻击的关键[1]。与传统的 API 不同开发者控制每次调用MCP 让 LLM 决定调用哪个工具、何时调用、使用什么参数。2.2 安全设计原则原则来源说明纵深防御 (Defense-in-Depth)Red Hat[6]、OWASP[1]、Microsoft[9]、arXiv 论文[10]多层重叠安全措施无单点故障零信任架构 (Zero Trust)NIST、Red Hat[6]、arXiv 论文[10]持续验证所有实体和请求不基于网络位置假设信任最小权限 (Least Privilege)OWASP[1]、CIS[11]、官方规范[2]每个服务器仅获得完成任务所需的最小权限故障安全 (Fail-Safe)Microsoft[9]、IETF MCPS[5]验证失败时默认拒绝访问2.3 MAESTRO 威胁建模框架arXiv 论文[10] 提出了 MAESTRO 框架将 AI 系统的威胁建模为七层L1–L3基础模型层模型权重、训练数据、推理L4Agent 框架层L5工具集成层MCP 协议所在层L6多 Agent 编排层L7Agent 生态系统层三、身份颁发与认证3.1 MCP 官方授权框架根据 MCP 规范2025-11-25 版[2]授权框架定义了以下安全机制角色定义受保护的 MCP 服务器充当 OAuth 2.1 资源服务器MCP 客户端充当 OAuth 2.1 客户端授权服务器负责与用户交互签发访问令牌授权服务器发现三层元数据发现MCP 服务器必须通过 RFC 9728受保护资源元数据公布授权服务器授权服务器必须提供 RFC 8414授权服务器元数据或 OpenID Connect Discovery客户端必须同时支持两种发现机制客户端身份注册[2]客户端在发起授权前必须通过以下机制之一获取 client_idClient ID Metadata Documents (CIMD)推荐方式SEP-991客户端托管静态 JSON 元数据文件于 HTTPS URL预注册事先在授权服务器注册动态客户端注册 (DCR, RFC 7591)已被弃用仅保留向后兼容Red Hat 观点[6]DCR 给服务器带来了管理无界客户端数据库和信任自声明元数据的沉重负担社区正转向 CIMD 作为推荐的默认方式。3.2 令牌体系令牌结构基于 JWTRFC 7519包含以下标准声明[11]声明名称功能issIssuer发放令牌的授权服务器subSubject令牌代表的用户/实体audAudience令牌的预期接收者MCP 服务器expExpiration Time令牌过期时间戳iatIssued At令牌签发时间戳令牌安全要求官方规范[2]客户端必须使用Authorization: Bearer token请求头严禁在 URI 查询字符串中包含访问令牌MCP 服务器必须验证访问令牌是专门为自己签发的audience 验证服务器不得接受非其关联授权服务器签发的令牌客户端不得向 MCP 服务器发送非其关联授权服务器的令牌3.3 多因素认证 (MFA)腾讯云开发者社区的技术深度文章[12] 给出了完整的 MFA 实现方案三类认证因素知识因素密码、PIN 码持有因素手机、硬件令牌、U 盾生物因素指纹、面部识别、虹膜识别MFA 支持类型SMS、EMAIL、TOTP基于时间的一次性密码、PUSH 推送通知、BIOMETRIC 生物特征验证安全机制挑战 5 分钟过期最多 3 次验证尝试超过则删除挑战全日志记录所有挑战的生成和验证3.4 OIDC 企业集成Red Hat 方案[6]推荐将认证委托给外部 OAuth/OIDC 提供者如 KeycloakMCP 服务器仅充当 OAuth relying party。这遵循了不要自己构建 OAuth 提供者的安全最佳实践。Microsoft 方案[9]支持外部身份提供者如 Microsoft Entra ID集成好处包括消除自定义认证的漏洞风险利用企业级 IdP 的高级安全功能继承多因素认证和条件访问策略简化用户生命周期管理和合规审计Anthropic 方案[8]2026年6月推出企业级托管授权Enterprise-Managed Auth管理员通过 IdP 一次性授权连接器用户通过 IdP 组和角色继承访问权限。首发支持 OktaAsana、Atlassian、Canva、Figma、Linear、Supabase 等已支持。3.5 IETF MCPS 代理护照 (Agent Passport)IETF MCPS 草案[5] 提出了代理护照Agent Passport概念将 ECDSA P-256 公钥绑定到代理身份和特定来源origin护照核心字段agent_name、agent_version、issuer、origin来源 URI 绑定public_keyECDSA P-256、capabilities能力列表trust_level0–4 级issuer_chain信任链类似 X.509最多 5 层key_rotation密钥轮换支持信任等级体系[5]等级名称要求L0None无 MCPS 验证自签名护照L1Signed消息已签名护照由任意 TA 签名L2VerifiedTA 在验证者信任存储中L3StrictL2 工具定义签名必须存在且有效L4FullL3 双向认证 实时吊销检查四、细粒度授权4.1 作用域最小化策略官方规范[2] 定义了渐进式、最小权限的作用域模型初始授权客户端应仅请求预期操作所需的最小权限优先级401 响应的WWW-Authenticate头中的scope参数 受保护资源元数据中的scopes_supported增量提权Scope Challenge当令牌权限不足时服务器返回 403 并附带scoperequired_scopes客户端计算新旧作用域的并集发起重新授权服务器建议将当前操作所需的所有作用域一次性发出常见错误官方明确警告[2]❌ 在scopes_supported中发布所有可能范围❌ 使用通配符或全能范围*、all、full-access❌ 捆绑无关权限❌ 在每次挑战中返回整个范围目录❌ 静默更改范围语义4.2 防止混淆代理 (Confused Deputy)官方规范[2] 定义了三层防护每客户端同意存储维护每个用户已批准的 client_id 注册表在启动第三方授权流程之前检查此注册表同意 UI 安全要求清晰标识请求的 MCP 客户端名称显示所请求的特定第三方 API 范围显示注册的 redirect_uri令牌发送目标实施 CSRF 保护、防止点击劫持重定向 URI 验证验证授权请求中的 redirect_uri 是否与注册的 URI完全匹配精确字符串比较使用__Host-前缀 Cookie设置 Secure/HttpOnly/SameSiteLax4.3 Rich Authorization Requests (RAR)arXiv 论文[10] 推荐使用 RAR 实现更细粒度的授权超越传统 OAuth scope 模型支持结构化授权请求如特定资源、特定操作、特定条件结合 DPoPDemonstration of Proof-of-Possession防止令牌盗用结合 mTLS 令牌绑定防止重放4.4 Red Hat 的 RBAC 集成方案Red Hat[6] 建议将 OAuth 令牌映射到内部角色和权限令牌的 JWT claims 中包含用户角色如 Keycloak realm/client rolesMCP 服务器在工具执行前进行 token claim 检查某些敏感工具仅限具有 admin 角色的用户访问4.5 上下文感知的动态权限arXiv 论文[10] 和 CSDN 技术文章[13] 描述了三个动态权限调整维度LLM 可信度可信度低于阈值时限制敏感工具文件系统、数据库、网络请求来源 IP限制特定 IP 范围时间窗口限制非工作时间操作五、访问控制5.1 JIT (Just-in-Time) 访问arXiv 论文[10] 提出了即时访问控制策略仅在任务期间签发临时凭证结合设备状态、位置、时间、行为分析进行上下文感知决策目的驱动授权权限与工具调用声明的目的对齐风险变化时立即撤销访问5.2 多 MCP 服务器的隔离策略网络级分段[10]专用 MCP 安全区域VLAN、VPC 子网服务网格Istio实施基于身份的 mTLS 流量控制限制服务器间通信强制显式 allow 规则会话状态隔离[10]防止跨会话干扰与数据泄露环境分离开发/测试/生产完全独立Docker 容器化隔离ChatForest 安全指南[14]每个 MCP 服务器在独立容器中运行使用--cap-drop ALL和--security-opt no-new-privileges独立的文件系统、网络命名空间和资源限制5.3 WebAssembly 沙箱隔离Microsoft Wassette[14]采用默认拒绝安全模型MCP 服务器编译为 WebAssembly 在沙箱运行时中运行服务器必须显式声明需要的系统能力未声明的能力在 WASM 运行时级别被阻止WASM 沙箱在微秒内启动无容器开销ToolHive[14]Kubernetes 容器隔离1,700 StarsMCPServer CRD 自定义资源声明式 YAML 策略限制服务器可暴露的工具seccomp 配置文件和 AppArmor 策略5.4 Human-in-the-Loop (人机协同)Claude Code 的五模式权限系统ChatForest[14]模式行为询问模式每个工具调用需显式人工批准自动编辑模式文件编辑自动批准其他需批准完全自动模式所有允许的工具调用自动批准自定义允许列表特定工具预批准权限提示工具委托批准决策给外部服务分层审批模型ChatForest[14]低风险只读工具→ 自动批准中等风险写入工具→ 记录并异步审查高风险破坏性工具→ 阻止直到人工批准关键基础设施/财务→ 多方批准六、内容过滤输入/输出安全6.1 提示注入防护这是 MCP 独有的安全挑战。OWASP MCP Top 10[3] 将提示注入列为 MCP06意图流颠覆和 MCP10上下文注入与过度共享。Microsoft Prompt Shields[9]基于高级机器学习的指令检测对外部内容进行上下文分析实时威胁模式识别内容聚焦聚焦技术明确区分可信与不可信内容分隔符系统定义内容边界MCP-Guard 学术方案[4]arXiv:2508.10991三层检测流水线轻量级静态扫描检测明显威胁深度神经检测器识别语义攻击微调 E5 模型在对抗性提示检测上达到96.01%准确率LLM 仲裁器综合三个信号做出最终决策配套发布 MCP-ATTACKBENCH 基准70,448 样本OpenGuardrails[14]322 StarsMCP 工具投毒扫描器检测隐藏在工具描述中的恶意指令提示注入扫描器识别工具输入和输出中的注入尝试敏感数据扫描器捕获 PII、凭证和密钥过度代理扫描器标记代理请求超出所需能力6.2 输入验证OWASP 最佳实践[1]实施严格的 JSON Schema 验证additionalProperties: false使用pattern限制字符串字段格式验证所有 MCP 服务器工具的输入——视为不可信来源是 LLM 输出可能受恶意上下文影响防止注入攻击SQL、OS 命令、路径遍历CSDN 技术文章[13] 定义的三种输入检测检测类型关键模式命令注入cmd\|bash\|sh\|[;\|]、$(...)、反引号路径遍历../、.\、~、/etc/passwdSQL 注入SELECT\|INSERT\|UPDATE\|DELETE、11、UNION6.3 输出过滤与数据泄露防护 (DLP)Microsoft Presidio (mcp-presidio)[14]支持 25 种 PII 实体类型检测姓名、电子邮件、电话、信用卡、社保号、护照号、IP 地址等作为 MCP 工具链中的服务运行其他 MCP 服务器返回的数据在到达代理前经过 PII 检测Pipelock 双向 DLP[14]46 个内置数据丢失防护模式AWS/GCP/Azure/GitHub 令牌检测信用卡和金融数据模式医疗记录标识符双向扫描请求和响应同时检测Skyflow 数据隐私[14]标记化Tokenization用保持数据格式但移除敏感内容的令牌替换敏感值代理收到的是标记化值如tok_4242_xxxx而非真实数据令牌在服务端解析代理从未看到真实数据arXiv 论文输出 DLP 策略[10]通过 ICAP 或 API 集成企业 DLP基于模式的编辑RegEx 识别并编辑信用卡号、SSN、PHI响应大小监控异常大响应可能表明数据外泄信息披露防护过滤内部系统细节、错误堆栈6.4 URL 安全验证官方安全最佳实践[2] 对 OAuth 授权 URL 的要求仅允许http://和https://方案拒绝javascript:、data:、file:、vbscript:等危险方案使用平台特定的非 Shell URL 打开机制设置 CSPscript-src self、default-src self七、OWASP MCP Top 10 威胁全景OWASP 于 2025 年发布 MCP Top 10 风险清单[3]项目由 Vandana Verma Sehgal 领导当前处于 Beta 阶段v0.1。十大风险清单编号风险名称核心描述关键缓解措施MCP01令牌管理不善与机密泄露硬编码凭证、长期令牌、日志中泄露令牌短期有作用域令牌、DLP 扫描、密钥扫描MCP02作用域蔓延导致权限提升权限随时间扩大工具描述中途变更工具描述指纹识别、运行时基线对比MCP03工具投毒恶意工具描述劫持代理行为Rug Pull、Schema Poisoning、Tool Shadowing预部署扫描、运行时防御、会话基线对比MCP04软件供应链攻击被攻破的软件包、后门服务器、被污染的依赖项依赖扫描、包签名验证、可重现构建MCP05命令注入与执行代理从不受信输入构建系统命令参数化 API、沙箱化、输入验证MCP06意图流颠覆提示注入恶意上下文劫持代理推理链内容检查、模式匹配分类器、严格工具范围MCP07认证与授权不足无认证、长期令牌、无作用域授权OAuth 2.1 身份网关、PKCE、按工具作用域MCP08审计与遥测缺失无日志、无告警、无可追溯记录不可变审计日志、加密链、集中化 SIEMMCP09影子 MCP 服务器未经批准的 MCP 部署在治理外运行代码库扫描、IDE 配置检查、网络/进程监控MCP10上下文注入与过度共享敏感数据跨用户/会话/代理泄露字段级访问控制、租户隔离、响应 DLP 扫描纵深防御模型据 PipeLab 分析[15]没有任何单一工具可以覆盖所有 10 项风险。推荐的可防御堆栈为预部署扫描器 运行时代理 OAuth 2.1 身份网关 哈希链审计日志平台 网络允许列表八、IETF MCPS 密码学安全草案IETF 于 2026年3月14日 发布 draft-sharif-mcps-secure-mcp-00[5]提出了不修改核心 MCP 协议的密码学安全层。四大安全原语Agent Passport代理护照将 ECDSA P-256 公钥绑定到代理身份和来源消息签名Per-Message Signing对每条 JSON-RPC 消息进行 ECDSA P-256 签名工具定义完整性Tool Definition Signing覆盖完整工具对象含 description 字段的加密哈希重放保护Replay ProtectionNonce16 字节随机数 时间戳窗口默认 300 秒密码学原语组件算法/标准密钥算法ECDSA P-256NIST FIPS 186-5哈希算法SHA-256NIST FIPS 180-4签名格式IEEE P1363 固定长度 r∥s64 字节规范化序列化JCSRFC 8785确定性签名RFC 6979低 S 规范化s ≤ n/2防签名可塑性攻击MCPS 防御的威胁威胁缓解措施服务器冒充来源绑定护照消息篡改逐消息签名工具描述投毒覆盖描述的完整工具对象哈希重放攻击Nonce 时间戳签名可塑性低 S 规范化能力降级转录绑定类似 TLS Finished吊销绕过签名吊销响应 故障关闭信任等级膨胀发行者链验证自签名强制 L0MCPS 不防御的威胁合法服务器运营者签名的恶意工具——来源证明不等于安全分析信任机构密钥泄露——类似 X.509 CA 泄露通过 HSM 和多 TA 缓解。[5]九、企业级部署实践9.1 Red Hat 的安全方案[6]Red Hat 根据部署场景推荐三种授权策略场景推荐方式说明开放 MCP 生态Client ID Metadata Documents (CIMD)客户端托管静态 JSON 元数据于 HTTPS URL企业 K8s/OpenShift外部 OIDC OAuth Token Exchange平台入口/API 网关集中验证用户内部/服务间mTLS 或 M2M OAuth Client Credentials传统用户登录流可被完全替代9.2 Microsoft 的安全控制[9]Microsoft 在 mcp-for-beginners 项目中发布的安全控制指南截至 2026年2月令牌安全控制严格禁止令牌透传五项强制验证audience_validation、issuer_verification、signature_check、expiration_enforcement、scope_validation令牌轮换优先使用短生命周期令牌安全存储使用 Azure Key Vault 或等效方案传输安全最低 TLS 1.3AI 特定威胁防护Microsoft Prompt Shields 集成ML 指令检测工具投毒预防模式验证、参数注入检测输出监控Azure Content Safety 服务9.3 Anthropic 的企业方案[8]2026年6月推出Enterprise-Managed Authorization管理员通过 IdP 一次性授权 MCP 连接器用户通过 IdP 组和角色继承访问权限支持零接触连接器设置用户首次登录即可使用管理员可要求连接器仅通过 IdP 连接防止个人账户混用首发支持 OktaAsana、Atlassian、Canva、Figma、Linear、Supabase、Slack 等已支持HubSpot、Ramp、Webflow 等企业正在部署9.4 CIS 安全控制指南[11]CISCenter for Internet Security于 2026年4月发布 MCP Companion Guide将 CIS Controls v8.1 应用于 MCP 系统重点关注身份与访问控制表面管理日志与审计扩展应用安全表面Agent 驱动的工具执行保护上下文管理安全9.5 arXiv 企业安全框架[10]论文《Enterprise-Grade Security for the Model Context Protocol》(arXiv:2504.08623) 提出了三种安全部署模式模式描述适用场景专用安全区域所有 MCP 组件隔离在受限网络段金融、医疗等高安全/合规组织API 网关中心化MCP 服务器置于企业 API 网关之后拥有成熟 API 管理平台的组织容器化微服务编排K8s 部署利用 NetworkPolicy/ Istio云原生架构组织十、中国国内视角与实践10.1 国内安全研究腾讯云开发者社区摘星2025年9月[12] 发表 MCP 安全机制深度剖析核心观点在 AI 技术快速发展的今天安全性已成为决定技术能否大规模应用的关键因素。MCP 作为连接 AI 模型与外部世界的重要桥梁其安全机制的设计和实施直接关系到整个 AI 生态系统的可信度和可靠性。文章定义了四大威胁模型authentication_bypass、privilege_escalation、data_interception、injection_attacks均标记为 HIGH 严重级别提出五层隐私保护体系数据收集层、存储层、传输层、处理层、访问层并构建了完整的安全配置框架密码策略、会话管理、MFA、加密、授权。CSDN 技术博客2026年1月[13] 深入解析 MCP v2.0 安全架构指出 MCP v2.0 的三个新要素零信任架构动态权限调整机制多层安全防护体系文章将 MCP v2.0 与 OpenAI Function Calling、Anthropic Tool Use、Google Gemini Tools、AWS Bedrock Agent 进行了对比结论为MCP v2.0 在安全特性和性能之间取得了良好平衡。阿里云开发者社区2025年5月[16] 发布 MCP 规范新版安全通信架构升级解读重点分析 2025-03-26 版本的变更包括 Token 泄露风险减少、公共客户端适配等。OAuth 2026 for MCPCSDN2026年3月[17] 提出了面向零信任架构的协议增强范式在 RFC 6749 基础上强制引入时间戳绑定、设备指纹签名、跨域授权链。10.2 国内大厂实践腾讯云[7]推出企业级 MCP 服务集成安全认证网关阿里云[7]推出 MCP 智能化工具平台百度智能云[7]推出行业 MCP 解决方案字节跳动[7]构建 MCP 开发者生态36氪 2025年4月报道[7]扣子等智能体平台热潮刚过MCP 又成为新热点阿里云率先推出 MCP 平台后腾讯云跟进。十一、安全工具生态矩阵基于 ChatForest 和 PipeLab 的统计14MCP 安全工具生态如下护栏框架工具Stars核心特性Guardrails AI6,600Validator Hub 生态系统同步/流式验证NVIDIA NeMo Guardrails5,900Colang 安全语言输入/输出/主题/检索护栏OpenGuardrails322MCP 工具投毒扫描器10 个内置扫描器沙箱隔离工具Stars核心特性ToolHive1,700K8s CRD声明式策略seccomp/AppArmorMicrosoft Wassette867WASM 沙箱默认拒绝模型Docker MCP Toolkit—300 验证服务器容器隔离Pipelock—Landlock seccomp 命名空间隔离DLP/内容过滤工具核心特性Microsoft Presidio (mcp-presidio)25 PII 实体类型检测Skyflow标记化 掩码 格式保持加密Pipelock46 种 DLP 模式双向扫描授权/访问控制工具核心特性Permit.io MCP GatewayRBAC/ABAC/ReBAC代理身份指纹Open Policy Agent (OPA)Rego 策略语言CedarAWS 类型化策略语言数学可验证QueryPie MCP PAM会话录制、即时访问、职责分离安全扫描工具核心特性mcp-scan (InvariantLabs)MCP 服务器安全扫描器工具投毒检测MCP-Guard (学术)三层检测流水线96.01% 对抗性提示检测准确率十二、未来趋势与展望12.1 协议层面RFC 9728 的全面采用当前仅 Amazon Cognito 和 Ping Identity 原生支持 RFC 8707MCP 强制依赖主流 IdP 提供商需要跟进[11]MCPS 成为正式 RFCIETF MCPS 草案可能在 2026–2027 年成为正式标准[5]OAuth 2.1 最终版draft-ietf-oauth-v2-1 正在进行中将进一步影响 MCP 授权模型12.2 技术演进方向据 CSDN 技术文章[13] 预测2027AI 驱动的安全防护成为标配自动检测 90% 已知攻击2028零知识证明广泛应用实现隐私保护审计2029量子安全成为强制要求2030去中心化身份认证DID成为主要认证方式12.3 产业趋势Anthropic Enterprise-Managed Auth 的推出[8] 标志着 MCP 安全从开发者自管理到企业级集中管理的转变阿里云、腾讯云、百度智能云加速 MCP 安全能力建设[7]OWASP MCP Top 10 从 Beta 走向 Final Release[3]云原生 MCP 安全网关成为基础设施标配十三、核心参考文献编号来源类型链接/标识[1]OWASP MCP Security Cheat Sheet行业标准cheatsheetseries.owasp.org[2]MCP Official Specification — Authorization (2025-11-25)官方规范modelcontextprotocol.io/specification/draft/basic/authorization[3]OWASP MCP Top 10 (2025, Beta)行业标准owasp.org/www-project-mcp-top-10/[4]MCP-Guard: A Multi-Stage Defense-in-Depth Framework (Xing et al.)学术论文arXiv:2508.10991[5]IETF draft-sharif-mcps-secure-mcp-00标准草案datatracker.ietf.org[6]Red Hat Blog — MCP Security: Authentication Authorization (Mar 2026)企业实践redhat.com/en/blog[7]中国MCP市场腾讯、阿里、百度的本土化实践2025年8月行业分析cloud.tencent.com/developer/article/2552439[8]Anthropic — Enterprise-Managed Auth (Jun 2026)企业实践claude.com/blog/enterprise-managed-auth[9]Microsoft — MCP Security Controls 2025 (Feb 2026)企业实践github.com/microsoft/mcp-for-beginners[10]Enterprise-Grade Security for MCP (arXiv)学术论文arXiv:2504.08623[11]CIS Controls v8.1 MCP Companion Guide (Apr 2026)行业标准cisecurity.org[12]MCP安全机制深度剖析摘星腾讯云开发者社区技术分析cloud.tencent.com/developer/article/2551114[13]MCP通信安全认证、授权与加密机制深度解析CSDN技术分析blog.csdn.net/lxcxjxhx[14]MCP AI Safety: Guardrails, Content Filtering, Sandboxing (ChatForest)实践指南chatforest.com/guides/mcp-ai-safety-guardrails/[15]OWASP MCP Top 10: Risks and Defenses (PipeLab)行业分析pipelab.org/learn/owasp-mcp-top10/[16]MCP规范新版安全通信架构升级阿里云开发者社区技术分析developer.aliyun.com/article/1662685[17]OAuth 2026 for MCP——企业级身份中台重构实录CSDN技术分析blog.csdn.net/StepLens[18]Technical Deconstruction of MCP Authorization (kane.mx)技术分析kane.mx/posts/2025/mcp-authorization-oauth-rfc-deep-dive/附录关键 RFC 时间线时间RFC里程碑2012-10RFC 6749OAuth 2.0 框架2012-10RFC 6750Bearer 令牌2015-05RFC 7519JWT 格式2015-07RFC 7591动态客户端注册2015-09RFC 7636PKCE2018-06RFC 8414AS 元数据发现2020-02RFC 8707资源指示器2025-01RFC 9700OAuth 2.0 安全 BCP2025-04RFC 9728受保护资源元数据进行中draft-ietf-oauth-v2-1OAuth 2.1 最终版2026-03draft-sharif-mcps-secure-mcpMCPS 密码学安全层声明