---
title: 04-mcp-service-security
description: 文本抽取：AI研讨会/04-mcp-service-security
updated: 2026-11-04
tags: [原始文档, 抽取, AI研讨会]
source: AI研讨会/04-mcp-service-security
source_type: txt
source_hash: 25c9e73e5662
extracted_at: 2026-11-04
quality: ok
---

---
source: AI研讨会/04-mcp-service-security.html
type: html
size_kb: 38
category: AI研讨会
quality: ok
---

商派 MCP 服务与安全接入｜ShopEx
ShopExMCP 服务与安全接入
服务架构工具能力安全边界部署接入← 返回总览打印 / 导出 PDF
04-A-04 · MCP 服务与安全接入
工作台智能体为什么能
安全接管商派业务系统？
因为商派产品已将业务能力构建为 MCP 服务：对外使用标准 MCP 协议，对内只连接固定的业务接口与既有能力。智能体可以理解、调用和推动任务，却不能绕过权限、越过组织数据范围，更不能直接触达数据库。
标准 MCP 协议固定业务工具权限与组织边界批准式写入
MCP
MCP 服务的意义
让智能体能够办事，
但不能拥有“超级权限”
MCP 不是把后台账号、数据库连接或超管权限交给模型，而是让工作台智能体只通过已经登记、可审计的业务工具进入系统。它既解决查询、对账、异常定位、初始化与规则治理的效率问题，也把安全边界落实为系统规则。
没有 MCP 时
人工依赖菜单、资料与反复校验
业务人员需要在系统中寻找入口、核对资料、填写配置，并在多轮检查后完成任务。直接把登录密码或数据访问权交给模型，则会产生越权、误改和隐私泄露风险。
有 MCP 服务后
智能体只调用登记工具，人保留责任边界
智能体能够在权限内查询、分析和组织操作；涉及写入时，必须先演习、说明影响、获得一次批准、执行后回读核对并留下回执。
核心原则：只走开好的门；权限跟人走；写操作先演习再批准；公共工具面与完整工具面分离。
01 · 服务架构
MCP 是受控中间层，
不是通往数据库的捷径
从工作台的自然语言任务到 OMS 业务结果，信息沿固定链路流动。大模型、智能体工作台和 MCP Server 都不直接连接业务数据库。
L1 · AGENT HOST
工作台智能体
Cursor、Hermes、OpenCode、Claude Desktop 等理解目标、选择工具、展示结果，不持有 OMS 数据库连接。
L2 · MCP SERVER
商派 MCP 服务
shopex-oms-mcp-server 登记工具、严格校验参数、管理批准令牌，并按公共或完整工具面暴露能力。
L3 · MCP API
固定接口门
/mcp-api/v1/* 验证专用凭证，实时解析员工工牌与部门范围，禁止任意 SQL 或控制器穿透。
L4 · BUSINESS
既有业务能力
复用已经验证的 Capability、Model 与 Service，写行为落在原有业务契约与事务边界中。
L5 · DATA
业务数据库
仅由既有业务能力访问。模型、工作台和 MCP 服务均不直连 MySQL 等业务库。
四层 Skill 文档，帮助智能体发现正确的工作
角色入口：客服台、运营塔、治理、开箱、经营与排障
场景编排：组织连续工作流，而不复制领域真相
领域事实：订单、发货、售后、主数据等原子能力
诊断层：日志、队列等，默认不进入 HTTP 公共面
两层运行时工具面
public · 56HTTP 默认可发现，面向业务角色的公共工具面。
full · 89仅 stdio / internal profile，含排障和底层治理原语。
文档分类不等于权限；真正的拦权由 MCP API 按员工当前工牌执行。docs-only、pc-only 与 blocked 不进入注册表。
02 · 一次任务的受控调用链
从人的目标到业务结果，
每一层都有自己的门禁
正向链把任务逐层送入业务系统；结果再沿同一条受控路径返回，由智能体整理为用户能够理解的反馈。
01 · 人
表达目标
用自然语言描述要查询、分析或办理的事项。
02 · 工作台
选择工具
只能看到当前工具面中已注册的能力；未知工具不可调用。
03 · MCP 服务
校验参数
严格校验入参；写操作绑定会话级批准范围。
04 · 专用凭证
带钥匙请求
携带本次接入的 Base URL、Client ID 与 Client Secret。
05 · 安全守卫
验钥匙与工牌
核验密钥指纹，解析 owner 当前权限并实时裁剪 scopes。
06 · 方法门禁
验权限与组织
按方法级权限和组织可见性决定是否允许读取或执行。
07 · 业务能力
调用既有契约
执行原有校验与事务边界；结构化返回业务错误。
08 · 回到人
组织结果与回执
智能体将结果转为结论、建议或执行回执。
401：凭证无效凭证缺失、错误、作废或不匹配时，调用直接被拒绝。
403：权限不足当前工牌没有对应能力，或数据不属于可见组织范围。
CONFIRMATION_REQUIRED写入未获得本次操作的批准令牌，系统停止在演习阶段。
03 · 当前工具能力
从经营、履约到开箱治理，
工具面按角色与风险分层开放
以当前已注册 runtime 工具为准。公共面让业务角色发现所需能力；完整面为实施与排障保留受限原语；未注册的能力不承诺为当前可调用能力。
PUBLIC CORE
经营、异常、履约与治理入口
经营与售后统计、售后查询、发货异常、履约详情、自动化规则查询及受控变更。
PUBLIC SUPPORT
订单、发货与售后下钻
订单、发货、退款、退货、补寄与发货异常的列表和详情能力。
PUBLIC SUPPORT
主数据、采购、库存与物流
组织、门店、仓网、品牌、物料、供应商、采购单、库存及物流公司等业务能力。
INTERNAL / PROFILE
实施与排障完整面
健康检查、API 与发货日志、导入模板、候选资源、库存核对和底层规则原语；不进 HTTP 默认发现面。
customer-service-desk
统一查单、物流与售后解释。
operations-control-tower
异常与待办优先级。
governance-admin
自动化规则治理闭环。
onboarding-commander
开箱与主数据准备。
business-insight-copilot
经营与售后复盘。
technical-triage
基于证据链的排障。
展开查看当前已注册工具目录与受控写入工具
Public Core · 经营 / 异常 / 履约 / 治理
sales_detail_statisticsaftersales_detail_statisticsaftersales_lookupshipment_exception_overviewshipment_exception_detailorder_fulfillment_overvieworder_fulfillment_detaildelivery_execution_detailautomation_rule_overviewautomation_rule_detailautomation_rule_prepare_changeautomation_rule_apply_change
Public Support · 订单 / 发货 / 售后
order_listorder_getdelivery_listdelivery_getrefund_listrefund_getreturn_listreturn_getreship_listreship_getshipment_anomaly_listshipment_anomaly_get
Public Support · 主数据 / 采购 / 库存 / 物流
org_listorg_getorg_createshop_listshop_getbranch_listbranch_getbrand_listbrand_getbrand_prepare_createbrand_creatematerial_listmaterial_getmaterial_category_listmaterial_category_getmaterial_category_creatematerial_category_updatematerial_category_deletematerial_category_sortmaterial_type_listmaterial_type_getsales_material_listsales_material_getsupplier_listsupplier_getpurchase_order_listpurchase_order_getpurchase_order_prepare_importpurchase_order_import_applyinventory_listlogistics_corp_listlogistics_corp_get
Internal / Profile · 仅完整面可见
health_checkapi_log_listapi_log_getshipment_log_listshipment_log_getmaterial_import_template_getsales_material_import_template_getsales_material_importbranch_get_wms_listbranch_get_branch_typesbranch_get_shop_listbranch_get_corp_listshop_add_formshop_edit_forminventory_get_by_material_warehouseinventory_diff_checkauto_audit_rule_*auto_dispatch_rule_*
04 · 安全模型
六道锁、两层权限与一次性批准，
共同守住业务系统入口
控制不是单点发生，而是同时覆盖来源、身份、权限、会话、数据范围与写入。模型只能在这些边界内使用业务工具。
01 · FIXED TOOLS
只开固定接口门
只开放登记过的业务工具和固定接口，不开放任意后台地址、控制器或 SQL。
02 · CLIENT CREDENTIAL
专用钥匙进门
使用独立 MCP 接入凭证，而不是 OMS 登录密码；凭证绑定员工账号。
03 · HASHED SECRET
钥匙指纹入库
CLIENT SECRET 明文只显示一次，库中仅保存不可逆指纹；可轮换、可作废。
04 · SESSION BOUND
会话绑定钥匙
远程连接不能中途偷换凭证；会话结束即清空会话级密钥与批准范围。
05 · NETWORK GATE
IP 收紧入口
凭证之外还可通过 IP 白名单、TLS 或受信内网限制请求从哪里进入。
06 · CONTROLLED WRITE
写操作受控
新增、修改、导入和规则调整都遵循“演习 → 批准 → 真写 → 回读”的固定闭环。
先判断：能不能办这类事
按当前员工账号的角色与方法级权限决定能否调用工具。改密、撤权或角色变化后，下一次请求立即按新工牌执行。
再判断：能不能看这份数据
通过工具门禁后，仍按部门与组织范围过滤订单和业务数据；非超级账号无法看到不可见组织的数据。
01 · PREPARE
先演习
不真正写入，只生成准备修改什么的计划。
02 · EXPLAIN
说明影响
展示对象、内容、业务键与影响范围。
03 · APPROVE
人来批准
签发仅对本次、这一笔操作有效的令牌。
04 · APPLY
真正写入
令牌内容匹配且未过期，才执行一次写入。
05 · READBACK
回读核对
再次查询业务结果，确认最终状态正确。
06 · RECEIPT
生成回执
记录谁批准、改了什么、结果与失败原因。
敏感信息：少出现、不落痕、用完即清
保护专用钥匙、OMS 登录类令牌、初始密码和上传业务文件。
不把敏感明文放入聊天、邮件、截图、URL 或代码仓库。
业务回复优先提供摘要，减少隐私字段直接展示。
确认令牌的安全语义
令牌随机生成、一次性消费，并按会话 scope 隔离。
绑定 operation、文件 hash、bytes、计划、业务键与过期时间。
令牌复用、内容不匹配或会话结束，系统拒绝继续写入。
05 · 部署与接入
部署方式可以不同，
安全规则不能打折
先区分“谁负责运行”的部署模式，再决定“工作台怎样连接”的技术接法。SaaS 与 On-prem 解决托管和责任边界；本机进程与内网远程服务解决 MCP 客户端如何接入，二者不应混为一谈。
条件式选择 · SaaS 托管
快速接入，由服务方托管
MCP 服务运行在 ShopeX 或约定服务方的托管环境。客户助手连接受控端点，凭证按会话或租户隔离。
服务方负责运行、升级、监控与基础可用性。
客户仍负责 OMS 账号权限、凭证生命周期与高风险审批。
上线前确认正式端点、SLA、网络、数据处理、审计与退出机制。
当前文档已定义 · On-prem
私有化运行，客户控制环境
MCP 进程运行在个人电脑、客户内网服务器或客户云账号；OMS 地址、凭证、日志和运行环境由客户控制。
更适合内网访问、日志留存与数据不出域要求。
客户负责进程、版本、监控、备份、网络策略与故障处理。
个人可用本机进程，团队可用内网共享服务集中管理。
比较维度SaaS 托管模式On-prem 私有化模式
| 服务运行位置 | ShopeX 或约定服务方托管环境。 | 个人电脑、客户内网服务器或客户云账号。
| 网络路径 | 需确认受控托管端点访问与网络策略。 | 可在客户内网访问 OMS，网络边界由客户控制。
| 凭证方式 | 会话或租户级专用 CLIENT ID 与 Secret。 | 本机环境变量，或内网服务建立连接时按会话传入。
| 运维责任 | 服务方管平台运行；客户管权限、凭证和审批。 | 客户管进程、版本、监控、日志、备份与网络。
| 数据与日志 | 在服务说明中明确传输、保留、隔离与删除机制。 | 数据和日志可留在客户环境，按客户制度管理。
| 典型使用 | 快速团队接入、标准化托管、无需自建运行环境。 | 开发调试、个人助手、内网团队共享、强私有化客户。
01 · OMS APP
安装并启用 mcpapi
安装 MCP API 授权 APP，执行配置更新，确认 /mcp-api/v1/* 和“MCP 接入凭证”入口可用。
02 · RUNTIME
PHP 升级至 8.2
OMS 的 Web 与 CLI 都需对齐 PHP 8.2；低于基线时，先升级再进行 MCP 连通与工具验证。
03 · NETWORK
准备 OMS 入口与网络
确认 Base URL，并按部署位置配置 IP 白名单、DNS、证书和访问策略。只启动 MCP 服务并不能让 OMS 自动可用。
06 · 凭证、接法与生产开放
每个人带自己的钥匙，
先用只读验证，再逐步开放写入
无论采用 SaaS 还是 On-prem、采用本机还是内网服务，接入凭证都不是 OMS 登录密码，实际权限始终跟随绑定员工的账号、角色与部门范围。
STEP 01
进入凭证入口
OMS 中依次进入“修改密码 → MCP 接入凭证”。
STEP 02
创建或轮换
按人员、用途和环境创建专用凭证，避免多人共用。
STEP 03
保存 ID 与 Secret
复制 CLIENT ID、CLIENT SECRET；Secret 明文仅显示一次。
STEP 04
记录 OMS 入口
保存 Base URL，并确认部署环境和网络策略允许访问。
本机 npx / stdio
适合个人试用、开发调试与单人桌面助手；由工作台在本机自动拉起 MCP 进程，无需另备服务器，默认完整工具面。
凭证通过本地受控环境变量传入，缺少配置即拒绝启动。
本机用户负责自身权限、配置文件与设备安全。
推荐先验证查询和低风险工具，再逐步扩展。
command: npx -y shopex-oms-mcp-server
SHOPEX_OMS_BASE_URL: https://OMS域名/index.php
SHOPEX_OMS_CLIENT_ID: CLIENT ID
SHOPEX_OMS_CLIENT_SECRET: CLIENT SECRET
内网远程 MCP 服务 / HTTP
适合团队共用、集中升级、监控与审计；在客户内网运行 MCP 服务，工作台连接受信内网端点，默认公共工具面。
每次连接携带本人的专用凭证，并非服务器共用一把钥匙。
服务应部署访问控制、TLS 或内网保护、日志与告警。
客户 IT 负责运行环境、可用性和故障处理，勿裸奔公网。
url: http://内网MCP主机:8787/mcp
X-Shopex-OMS-Base-Url: https://OMS域名/index.php
X-Shopex-OMS-Client-Id: CLIENT ID
X-Shopex-OMS-Client-Secret: CLIENT SECRET
01 · 准备 OMS
APP、PHP、接口与网络
安装 mcpapi、升级 PHP 8.2，核对入口与网络。
02 · 确定模式
责任边界与接法
确认 SaaS 或 On-prem，再选择本机或共享服务。
03 · 领取凭证
按人、用途、环境
安全保存并建立轮换、作废与离职交接规则。
04 · 先验只读
验证 1–2 个场景
确认权限、部门范围、工具返回和业务结果正确。
05 · 再开写入
批准、回读与审计
验收日志、撤销机制和人工确认后，再开放写入范围。
07 · 能力边界
只承诺已开放的能力，
不把技术边界说成“无所不能”
实际范围以当前开通的工具与 runtime 注册表为准；能力在文档或规划中出现，并不等同于已经交付和可调用。
当前范围内
订单、发货、退款、售后与补寄等交易查询。
异常、履约场景的总览和详情。
经营与售后统计等只读分析。
主数据查询及受控创建、导入。
自动化规则治理的 prepare / apply 闭环。
在完整工具面内进行受限诊断与排障。
明确范围外
直连数据库或执行任意 SQL。
执行未开放的改单、发货、退款等操作。
代替用户完成平台扫码授权。
自行提升为管理员或绕过既有权限。
将 docs-only、blocked 能力包装成已交付。
通过 MCP 绕过原有桌面端业务校验。
让工作台智能体成为业务系统的受控使用者
商派 MCP 服务以标准协议连接不同工作台，以固定业务工具连接产品能力。系统级操控之所以可行，不是因为放宽了权限，而是因为“钥匙 + 工牌 + 组织滤镜 + 批准令牌 + 审计回执”构成了可执行的安全边界。
← 返回总览第 04 章