Konfigurasi MCP: pahami struktur, koneksi, dan izin
Tiga langkah terpisah memudahkan pemeriksaan MCP: tinjau struktur berkas, uji koneksi, lalu nilai server dan izin yang diminta. Pemeriksaan struktur mencakup langkah pertama; koneksi dan kepercayaan memerlukan pemeriksaan tersendiri.
Ada 3 pertanyaan berbeda
Bisakah aplikasi membaca konfigurasi? Apakah koneksi berfungsi? Apakah sumber dan izinnya sesuai untuk data Anda? Jawaban ya pada pertanyaan pertama tidak menjawab dua lainnya.
MCP menghubungkan klien dengan server yang menyediakan kemampuan. Server bisa berupa program lokal melalui stdio atau layanan melalui HTTP; cara koneksi mengubah hal yang perlu diperiksa.
Referensi: Model Context Protocol — Clients, servers and transports
Periksa format yang diterima klien Anda
ToolRoof memeriksa subset JSON tertentu di bawah mcpServers: command dengan args dan env opsional, atau url dengan headers opsional. command dan url pada entri yang sama adalah kesalahan; kolom tak dikenal menghasilkan peringatan.
Ini bukan format semua aplikasi MCP. Baca dokumentasi klien sebelum menghapus pengaturan sah yang tidak dicakup pemeriksa. Alat tidak menjalankan perintah, mengunjungi alamat, atau menguji autentikasi.
Peringatan bukan deteksi rahasia menyeluruh
Argumen, variabel lingkungan, dan header dapat memuat data sensitif. Menandai tempat tersebut tidak membuktikan setiap nilainya rahasia, atau berkas tanpa peringatan bebas rahasia.
Jangan kirim konfigurasi asli dalam laporan dukungan publik. Gunakan contoh yang disamarkan dan tinjau sumber serta izin sebelum menghubungkan. HTTPS dan JSON valid tidak otomatis membuat server terpercaya.
Contoh: hasil valid dengan arti terbatas
{"mcpServers":{"notes":{"url":"https://example.com/mcp","type":"http"}}} menggambarkan satu server dalam subset yang didukung. Lolos hanya membuktikan bentuknya; example.com adalah alamat contoh, bukan server MCP yang diuji.
Menambahkan command pada entri yang sama gagal karena transport ambigu. Sebaliknya, headers berisi {"X-Mode":"demo"} mempertahankan struktur valid, tetapi menghasilkan peringatan untuk ditinjau. Itu tidak berarti demo adalah kredensial rahasia.