unempyd

研究发现 MCP 服务器未能强制执行工具列表的身份验证

关于机器通信协议 (MCP) 规范的讨论揭示，相当一部分需要身份验证的服务器并未对其工具列表强制执行身份验证。在 117 个强制要求凭证的服务器中，约有 15% 的服务器仍然匿名提供其完整的工具列表，另有 16% 的服务器以不合规客户端无法操作的方式拒绝请求。这个问题在小型团队中更为普遍，因为默认的规范设置可能影响更大。此外，大多数 MCP 服务器缺乏可访问的远程端点，这意味着它们的发现性主要依赖于源代码和包元数据，而不是预认证的发现表面。