扫描器评分方法

端点可通过 HTTPS 访问，且证书链对该主机名有效。明文 HTTP 传输判为失败。

修复： 在边缘使用托管证书终止 TLS，并重定向所有明文请求。
开源替代方案： Let's Encrypt + Caddy，或 Nginx certbot 并启用 HSTS。

暴露具备变更能力工具的 MCP 端点，在提供这些工具前强制执行认证边界（带 PKCE 的 OAuth 2.1 或签名 bearer token）。

修复： 在每个 MCP 传输端点上强制使用带 PKCE 的 OAuth 2.1 授权码流程。
开源替代方案： 开源身份提供方（Keycloak、Ory Hydra、oauth2-proxy）提供相同的流程。

声明的字符串参数包含最大长度、枚举或模式，使单次调用无法携带无上限的载荷。

修复： 用 maxLength、enum 或 pattern 约束字符串参数，并在传输层拒绝超大请求体。
开源替代方案： JSON Schema maxLength 加上框架层的请求体大小限制（例如 express body-parser 的 limit）。

扫描工具和参数描述，查找隐藏在 docstring 中的对抗性祈使句和不可见 Unicode 字符（间接工具投毒）。

修复： 将描述改写为中性的能力说明；删除祈使性语句和不可见字符。
开源替代方案： mcp-scan（Invariant Labs）和 LlamaFirewall 都能标记被投毒的描述。

在主机上暴露任意 shell、eval 或命令执行且没有沙箱的工具，按设计即属严重问题。

修复： 用细粒度、限定范围的操作替换开放的 shell 工具，或在沙箱（Docker、Firecracker）中运行它们。
开源替代方案： Firecracker microVM、gVisor，或使用只读 rootfs 并移除 capabilities 的 Docker。

文件写入或删除工具必须限定其路径参数（pattern、长度或声明的沙箱根目录）。未限定范围的路径判为失败。

修复： 将服务器绑定到单一工作区根目录，并遵守隐藏文件排除规则。
开源替代方案： 参考实现的 MCP filesystem 服务器以同样方式限定根目录。

工具参数不得以模型可见参数的形式接收 API 密钥、密码或令牌。

修复： 在运行时通过环境变量或密钥管理器注入凭据，绝不通过工具参数传递。
开源替代方案： Vault、AWS Secrets Manager 或 Doppler，按环境范围注入。

每个工具都声明 object 类型的 inputSchema，且每个声明的参数都有明确类型。无参数工具通过；缺少 Schema 或类型为开放容器的判为失败。

修复： 在每个工具的 inputSchema 中声明类型（string、integer、boolean）和必填字段。
开源替代方案： Zod、Pydantic 或原生 JSON Schema 都能以同样方式生成严格的 Schema。

不可逆操作（退款、转账、扣款、部署）需要可审计的人工审批步骤。无法被动观察：仅列出供人工核实，从不计分。

修复： 为变更类工具添加两步确认流程，并使用服务端审批令牌。
开源替代方案： 任何基于 webhook 的审批队列（Slack 机器人、Linear 流程）都能实现相同的审批关口。

无论采用哪家供应商，目标都必须具备某种机制，在工具返回的内容到达模型之前对其进行检查或过滤。

修复： 在重新注入上下文之前，内联过滤工具输出（神经网络过滤器、正则策略或框架中间件）。
开源替代方案： LlamaFirewall、LLM Guard 或 Azure Prompt Shield 提供同等能力。

上下文无法通过不可信文档重新定义、遮蔽或覆盖已注册的工具名称。

修复： 每轮重建工具注册表，并拒绝被遮蔽的名称。
开源替代方案： 参考实现的 MCP SDK 会保持客户端控制的工具名称不可变。

一份已发布、可链接的声明，说明服务器会从工具调用或对话中保留哪些内容。

修复： 在网站上发布数据保留声明。
开源替代方案： 一个公开的文档页面或信任报告即可满足，无需任何供应商。

判定结果和变更操作会生成哈希链式或签名的证据记录。

修复： 使用哈希链或仅追加存储记录判定结果。
开源替代方案： 使用 OpenSSL 的哈希链日志或仅追加的 Merkle 日志即可实现这一模式。