架构上跑 MCP 网关。 所有调用过网关，网关执行 server 白名单、集中日志、访问控制。没有网关，就会到处是影子 MCP
认证用 OAuth 2.1 加强制 PKCE。 每个客户端单独同意，严格匹配重定向 URI，服务端校验 state
授权做到能力级 scope。 从最小开始，需要了再提升；直接拒绝通配 scope
工具治理。 每个工具单独白名单；pin 版本；首次批准时对工具描述做哈希，一旦变更就重新确认。这条直接干掉 rug pull
沙箱。 每个 server 跑在自己的容器里，只放开它需要的出网，默认禁 DNS
监控与人工确认。 每一次工具调用、参数、模型决策都记日志，带关联 ID 打通宿主、客户端、server 三方；破坏性动作（写入、删除、发送）必须人工确认，这个摩擦力本身就是功能