MCP 凭证该不该暴露给模型?开发者分享代理注入的实践方案
lordVader1138 · reddit · 2026-10-12
一位开发者在构建 MCP server,让编码 agent 对真实开发后端(非 mock)发起一次性检查并返回报告,提出设计问题:涉及鉴权 API 的 MCP 工具是否应把凭证暴露给模型。
他的设计选择:凭证存在模型之外,由代理在请求离开 worker 时注入;密钥和源码都不给模型;工具输出(报告、replay curl)永不包含 auth header,agent 只看到调用结果、返回内容和 pass/fail。
他向 MCP 开发者提问:目前如何处理凭证(客户端环境变量?服务端 vault?)、是否会把工具报告当作 PR 中的证据还是仅作 agent 提示、报告中还缺什么。另提到正在为前端/移动端同步 API 变更做 MCP 测试和浏览器测试。
「编程与Agent」频道最新
- Neon 推出 TanStack AI 官方 AI Gateway 适配器，一个凭据调用多家模型 — matei_zaharia · 2026-10-23
- Modal 开源 Spindle：Tinker 兼容训练服务器，按 GPU 计费不再按 token 付费 — andersonbcdefg · 2026-10-23
- Reflection AI 演示 Beam 接入 opencode,自动微调 Gemma-4 准确率提升 66.5% — danielhanchen · 2026-10-23
- Cua 推出 Spaces SDK：让 Hermes 等 Agent 跑在你自己的电脑沙箱里 — Teknium · 2026-10-23
- PHP 爆两个未认证 RCE 漏洞，ProjectDiscovery 推全网免费告警服务 — cyb3rops · 2026-10-23
- Modal 开源 Spindle：Tinker 兼容自托管训练服务器，按 GPU 计费替代按 token 计费 — josh_wills · 2026-10-23