AgentCore Gateway 策略只拦 MCP 工具，资源读取始终放行
rahulladumor · reddit · 2026-10-20
Reddit 用户基于 AWS 文档指出：AgentCore Gateway 的 Policy 引擎（Cedar）在 ENFORCE 模式下只对 MCP tools（tools/call、过滤后的 tools/list）做评估，而 prompts/list、prompts/get、resources/list、resources/read、resources/templates/list 无论策略模式如何都始终放行，网关对它们唯一的检查是入站鉴权。
为什么容易漏掉
- Policy 核心概念页称策略对「每次工具调用」评估，schema 把每个 tool 映射为一个 action，resource/prompt 没有对应 action，写不出规则。
- MCP server target 页说 prompts 和 resources 在服务器声明时自动同步，新增或重新同步 target 会在不改策略的情况下扩大可读范围。
- 按 MCP 规范，resources 是按 URI 寻址的数据（文件、数据库 schema 等），任何持有效 token 的客户端都能直接发 resources/read。
验证方法：用最低权限 token，在 ENFORCE 开启下经网关调用 resources/templates/list 再对敏感 URI 调 resources/read，若返回内容说明保护并非来自 Cedar。
可选方案：不需要就在 MCP server 侧关闭 resources/prompts；需要则在 server 内部做鉴权（用用户绑定的出站凭证而非网关共享角色凭证）；或用网关 REQUEST interceptor 拦截（文档未明确是否覆盖 resources/read，需实测）。若所有 target 都是 Lambda/API Gateway/OpenAPI/Smithy 则不受影响。作者声明这是读文档推断、未实测。
「编程与Agent」频道最新
- 开发者盘点 OpenAI DevDay 最被低估的三组 API 组合 — gabrielchua · 2026-10-20
- Arda 出 stealth:CAD 转装配指令的 AI Agent,已部署 Anduril 全部门 — pxd · 2026-10-20
- HERA：让 Agent 框架与环境共同进化，学会何时弃答 — UW · 2026-10-20
- 几条提示词复刻温布利球场：9万个座位可逐一点击的3D网页 — DynamicWebPaige · 2026-10-20
- 读完 17 个 coding agent 源码:从 100 行 mini-SWE-agent 到 Kimi 128 路集群 — yb2698 · 2026-10-20
- noOS 设想：操作系统只剩一件事，把算力交给 Agent — DimitrisPapail · 2026-10-20