第七节：接入工具前，先定义信任边界

MCP 连接能力，模型决定如何使用

MCP 让客户端发现和调用服务器提供的工具。它并不自动让外部数据成为事实，也不代替服务端授权。先从只读资料查询开始，列清服务器来源、允许读取的范围和返回字段。

描述一次完整调用

将用户目标、工具输入、服务端操作和返回结果分开记录。检索结果保留 ID、出处与时间；没有结果时返回空集合，不让模型补造来源。下面是协议无关的设计草稿，不是 MCP 配置文件。

工具：search_notes
权限：只读公开练习笔记
输入：query（非空字符串），limit（1–5）
输出：[{id, title, snippet, source}]
失败：无结果 / 未授权 / 超时
禁止：写入笔记、越目录读取、返回凭据

返回内容也是不可信输入

工具返回的网页或文件可能含有诱导指令。回答应把它们当待分析资料，不能因为某段资料写“忽略原任务”就扩大权限。对于写工具，要单独校验参数和授权，不能仅凭模型的文字解释放行。

先测最小权限

记录正常查询、越权查询、超时和诱导内容四个案例。凭据放在本地受控的密钥机制中，分享配置时只保留占位符。第三方服务器应先审查来源，再按当前版本帮助配置和连接。