关键词FastMCP、OAuth2、JWT、MCP、AI Agent、Claude Desktop、Cursor、RBAC、企业安全、权限控制在前面的几篇文章中我们已经实现了FastMCP开发MCP ServerMySQL数据库接入REST API封装Claude Desktop与Cursor接入到这里很多开发者都会产生一个新的问题如果AI能够调用企业ERP、CRM甚至财务系统如何保证安全例如AI收到一句话删除所有客户数据。如果你的MCP Tool没有任何权限控制那么AI可能真的会执行删除操作。因此在企业级AI应用中认证(Authentication)和授权(Authorization)往往比Tool开发本身更加重要。本文将从OAuth2、JWT、RBAC权限模型三个方面讲解如何构建企业级MCP安全体系。一、为什么MCP必须做权限控制很多人认为AI只是聊天。实际上。接入MCP以后。AI已经能够查询数据库 创建订单 审批流程 发送邮件 调用ERP 修改库存 操作GitHub它已经成为企业系统的新入口。如果没有权限体系。风险极高。例如普通员工 ↓ AI ↓ 删除订单 ↓ 删除数据库显然不能接受。所以企业部署MCP第一件事。不是开发Tool。而是建立权限体系。二、认证(Authentication)和授权(Authorization)有什么区别很多开发者容易混淆这两个概念。其实非常简单。认证(Authentication)你是谁例如用户名 密码 企业SSO OAuth2 JWT授权(Authorization)你能做什么例如销售 ↓ 查看客户 不能删客户 ---------------- 管理员 ↓ 查看 修改 删除 全部允许一句话总结认证负责确认身份授权负责决定权限。三、OAuth2为什么成为企业标准目前几乎所有企业平台都支持OAuth2例如Microsoft Entra ID原Azure ADOktaAuth0Keycloak企业微信开放平台飞书开放平台OAuth2最大的优势不需要把账号密码交给第三方应用。例如传统方式AI ↓ 账号密码 ↓ ERPOAuth2AI ↓ Access Token ↓ ERPToken可以设置有效期随时失效限制权限范围Scope安全性更高。四、JWT是什么OAuth2认证之后。通常得到JWT。例如eyJhbGciOiJIUzI1NiIsInR...JWT里面。一般包含{ sub:1001, role:admin, department:Sales }FastMCP收到请求以后。即可知道是谁 哪个部门 什么角色 拥有哪些权限无需再次查询用户身份。五、FastMCP如何进行权限校验假设开发查询客户。很多人的写法app.tool() def query_customer(id): ...企业项目。建议app.tool() def query_customer(customer_id: int, user_context): if not user_context.has_permission(customer.read): return { success: False, message: 没有查询客户信息的权限。 } return customer_service.query(customer_id)真正的权限判断应放在业务层或统一的权限中间件中而不是散落在每个函数里。上面的示例主要用于说明权限校验的思路。六、RBAC权限模型企业最常见的是RBACRole-Based Access Control。例如管理员 ↓ 全部权限 ---------------- 销售 ↓ 客户 订单 ---------------- 客服 ↓ 客户 售后 ---------------- 财务 ↓ 订单 发票权限不是给用户。而是给角色。维护起来非常方便。例如Role ↓ Permission ↓ Tool可以形成Sales ↓ customer.read ↓ query_customer()七、Tool也应该划分权限等级很多企业所有Tool。全部开放。这是最大的错误。建议按照风险等级划分。Tool建议权限query_customercustomer.readquery_orderorder.readcreate_orderorder.createupdate_orderorder.updatedelete_orderorder.deleteexport_customercustomer.export这样。即使AI知道Tool存在。没有权限。也不能调用。八、写操作一定要二次确认例如用户删除订单10086。AI不能直接调用delete_order()推荐流程用户 ↓ AI理解 ↓ 生成执行计划 ↓ 询问 确认删除 ↓ 用户确认 ↓ 调用Tool ↓ 删除成功这种设计可以降低误操作风险尤其适用于删除、转账、审批等高风险业务。九、最小权限原则企业安全中有一个经典原则Least Privilege最小权限原则例如销售。只需要查询客户 查询订单那么就不要赋予删除订单 修改库存 创建管理员权限越少。越安全。十、审计日志为什么重要假设AI误删。订单。如何追踪所以每一次Tool调用。建议记录时间 2026-07-16 15:30 用户 zhangsan 角色 Sales Tool query_customer 参数 10086 结果 Success 耗时 120ms很多行业如金融、医疗、政务都有合规要求完整的审计日志也是安全体系的重要组成部分。十一、API Token不要交给AI很多新人喜欢TOKENxxxxxxxx或者Prompt告诉AIToken。这是十分危险。正确做法环境变量 ↓ Server读取 ↓ 请求API ↓ AI永远不知道TokenAI只知道Tool。不知道密钥。十二、多租户企业如何设计SaaS系统通常需要支持多个租户。例如Company A ↓ 只能访问A的数据 ---------------- Company B ↓ 只能访问B的数据因此FastMCP收到请求。应自动绑定tenant_id所有查询自动过滤。而不是AI决定。十三、企业级安全架构建议一个较为完整的企业AI安全架构可以设计如下Claude / Cursor ↓ MCP Client ↓ FastMCP Server ↓ 身份认证OAuth2 / JWT ↓ 权限控制RBAC ↓ 审计日志 ↓ 业务服务 ↓ ERP / CRM / 数据库各层职责如下层作用身份认证验证用户身份权限控制判断是否允许调用Tool业务服务执行业务逻辑审计日志记录调用行为数据层访问数据库或业务系统这样可以做到认证、授权、业务和数据访问相互解耦便于后续维护和扩展。十四、OAuth2集成时的几个实践建议除了实现功能更要关注工程实践不要自行实现OAuth2协议优先使用成熟的身份平台或框架。验证JWT签名和有效期不要仅解析Token内容。合理设计Scope例如customer.read、order.write等而不是一个万能权限。敏感操作增加审批或确认机制不要仅依赖模型判断。对失败认证和异常调用进行监控告警及时发现异常行为。总结随着AI Agent逐渐接入ERP、CRM、OA等核心业务系统MCP Server已经不仅仅是一个工具服务更是企业业务系统的重要访问入口。因此一个成熟的企业级MCP平台应至少具备以下能力身份认证采用OAuth2、JWT等成熟方案确认用户身份。权限控制使用RBAC等模型限制不同角色可调用的Tool。最小权限原则仅授予完成工作所需的最低权限。高风险操作确认删除、审批、转账等操作增加人工确认。审计与监控记录每次Tool调用满足安全和合规要求。密钥保护API Token、数据库密码等敏感信息仅保存在服务端。AI可以帮助企业提升效率但真正决定系统是否可靠的往往不是模型能力而是安全架构设计。对于企业开发者而言把MCP安全体系设计好与开发Tool本身同样重要。本文知识点✅ OAuth2认证原理✅ JWT身份验证✅ RBAC权限模型✅ FastMCP权限控制设计✅ Tool权限分级✅ 最小权限原则✅ 企业级审计日志与安全实践