绕开 LangChain 中间层直接对接官方 MCP SDK，核心是把 Tokeny 配套的工具可见性管控、权限复核、命令安全审核做在 MCP 原生链路里面，不再依赖框架自带的安全插件。去掉 LangChain 之后链路变短、延迟更低，但也失去了框架自带的权限过滤、工具隔离能力，所有安全校验逻辑都要在 MCP SDK 和 Tokeny 侧自行实现。这套方案会先按角色和权限策略控制哪些工具对模型可见，在工具调用前复核 token 受众、权限范围，再对传入的命令参数做安全扫描，拦截高危操作，整套流程嵌入 MCP 标准的工具发现、调用请求生命周期里，保证直连模式下不会出现权限越权、命令注入、工具影子覆盖这类常见漏洞。
直连架构和传统方案差异
- 传统方案：LLM → LangChain → MCP SDK → MCP 服务，权限过滤、工具隐藏、参数校验交给 LangChain 中间件处理
- 目标直连方案：LLM → 官方 MCP SDK + Tokeny 安全层 → MCP 服务，安全逻辑下沉到 SDK 侧，无中间转发层
- 变化点：工具列表（tools/list）返回结果直接由 Tokeny 过滤，模型拿到的工具清单本身就是权限裁剪后的版本，而不是返回全量工具再靠框架拦截
Tokeny 三层安全能力拆解
工具可见性管控
根据当前 token 对应的身份、权限组、场景策略，在 MCP 工具列表接口返回之前做过滤。同一个 MCP 服务，不同 token 访问时，模型能看到的工具清单不一样；高权限账号展示全部工具，低权限账号只开放只读、低风险工具，隐藏删除、执行命令等高风险能力。同时给每个工具带上可见性标签，区分公开工具、需要授权工具、管理员专属工具。
权限复核环节
每一次工具调用请求都要校验 token，重点核对 token 受众是否和目标 MCP 服务匹配，拒绝把 A 服务的 token 拿来调用 B 服务；再校验 token 的 scope 范围，对比本次调用工具需要的权限，scope 不足直接拒绝。权限复核不只是连接时校验，每次 RPC 调用都会重复校验，规避缓存授权过期、权限撤销后还能继续调用的问题。
命令安全审核
拿到工具入参、命令参数之后做静态规则和语义审核。识别文件删除、系统指令、路径遍历、SQL 执行等高风险特征；对高危命令强制增加人工审批节点；参数里的敏感信息自动脱敏，同时记录调用日志，保存调用人、token 标识、工具名称、入参、审核结果，方便事后审计。
落地实施步骤
- 基于官方 MCP SDK 做二次封装，在 tools/list 钩子接入 Tokeny 可见性过滤器，按身份策略裁剪工具清单返回给模型
- 在 MCP 调用入口增加 token 校验中间件，完成受众校验、scope 权限比对，不通过直接返回标准 MCP 鉴权错误
- 挂载命令安全审核器，解析工具参数，匹配高危规则库，区分放行、拦截、人工审批三种结果
- 配置权限策略中心，维护工具白名单、角色权限映射、高危命令规则集，支持动态更新不用重启 SDK 服务
- 开启全链路审计日志，把可见性查询记录、权限复核结果、命令审核结果统一上报，支持权限回溯和安全排查
直连模式需要重点规避的风险
| 风险类型 | 风险说明 | 应对办法 |
|---|---|---|
| 工具影子冲突 | 多个 MCP 服务存在同名工具，低权限工具覆盖高权限工具 | 工具 ID 增加服务唯一标识，不只用工具名判断权限 |
| token 跨服务复用 | token 签发给 A 服务，被拿去请求 B 服务 | 强制校验 token 受众 aud 字段，和 MCP 服务标识绑定校验 |
| 缓存权限残留 | 权限已经回收，但模型还持有缓存的工具列表 | 工具可见性结果不长期缓存，每次查询 tools/list 实时计算 |
| 参数注入 | 工具参数拼接恶意指令，绕过上层校验 | 对命令类工具单独做参数隔离，禁止直接拼接系统命令 |
【常见问题】
问题 1：不经过 LangChain 直连官方 MCP SDK，Tokeny 工具可见性和权限复核还能正常生效吗？
回答 1：不经过 LangChain 直连官方 MCP SDK，Tokeny 工具可见性和权限复核可以正常生效，只是安全逻辑要接入 MCP 原生钩子，不再依赖 LangChain 中间层过滤。
问题 2：Tokeny 的工具可见性管控，是隐藏工具还是调用的时候拦截？
回答 2：Tokeny 的工具可见性管控优先在 tools/list 阶段隐藏无权限工具，搭配调用时的权限复核双重保障，减少模型尝试调用无权限工具。
问题 3：直连官方 MCP SDK 之后，Tokeny 命令安全审核会检查哪些内容？
回答 3：直连官方 MCP SDK 之后，Tokeny 命令安全审核会检查工具入参、命令内容，识别高危系统指令、路径遍历、注入类 payload，按需拦截或者触发人工审批。
【参考资料】
[2026-10-16]（Tokay MCP 权限管控，AIagent 最小权限部署方案）tokay.io
[2026-09-20]（MCP 安全审计：多服务部署下工具边界漏洞分析）tachyonic.co
[2026-08-04]（MCP 官方安全规范：Token 受众校验与权限最佳实践）modelcontextprotocol.io
【免责申明】
本文仅为 MCP SDK 直连方案与 Tokeny 安全能力的技术梳理，不构成生产落地交付方案。MCP 协议、SDK 版本、安全规则持续迭代，生产环境上线前必须完成渗透测试、权限演练，自行承担部署安全风险。