MCP 到底是什么？普通人也能看懂的完整教程

摘要： MCP 是让 AI
应用以统一方式连接外部数据和工具的开放协议。普通人不必先写代码，也能理解它的三个角色、三种能力和安全边界：先把一个只读资料清单接给客户端，验证它能列出工具、读取资源，再决定是否接入真实账户。本文给出一条从概念、配置到验收的路线，适合想弄懂
AI 助手为何能访问文件、数据库或业务系统的读者，也适合第一次开发 Server
的人。本文核验于 2026 年 10 月 1 日；界面与 SDK
会变化，请以官方文档为准。

核心结论

MCP（Model Context Protocol）可以理解为 AI
应用与外部系统之间约定好的“接口语言”。它规定客户端怎样发现并调用 Server
提供的能力，不规定模型一定要做什么，也不会自动授予你的电脑或账号全部权限。普通人最实用的理解方式是：AI
应用是 Host，Host 内的 Client 负责说 MCP，Server
提供经过授权的数据或动作。先学会辨认这三者，再决定要不要安装某个
Server。官方入门文档把 MCP 比作 AI 应用的 USB-C
接口，这是帮助理解互通性的比喻，不意味着物理连接或绝对兼容。MCP
官方入门介绍。

• 能做什么： 让一个支持 MCP 的 AI
  应用看见工具、资源与提示词，例如搜索资料、读取目录或调用受限服务。
• 不能保证什么： 不能保证模型答案正确、Server
  安全，也不能保证所有客户端支持相同的扩展和授权方式。
• 谁先学： 经常在 AI
  助手里手工复制文件与结果的人，可先认识只读连接；开发者再做自己的
  Server。
• 成本判断：
  协议与本文离线示例不收协议费，客户端、模型、云服务、第三方 API
  和服务器可能另收费。
• 起步建议：
  先用虚构资料与只读工具验证，保留人工核对；不要把生产数据库、支付或发布权限作为第一个练习。

背景与主要变化

很多人把 MCP 误认为“又一个模型”或“一个插件商店”。实际问题更朴素：一个
AI 应用若要读取本地文件、查项目资料、调用日历或查询业务
API，以前常要为每种系统写一套专用接入代码。MCP
让应用和外部服务遵循共同协议；开发者可把数据或操作包装为
Server，再由不同 Host 中的 Client
连接。它减少重复接线，但仍要处理身份、授权、输入验证、审计与费用。这里的“开放”描述协议规格，并不是“装上便免费访问任何数据”。

截至本文核验日，官方 2026-07-28 规范已经发布。与许多旧教程的 2025
版握手流程相比，新规范把核心请求设计为无状态，新增
server/discover 等机制，并加强授权相关规范；SDK 和具体 Host
的升级节奏可能不同，旧示例仍可能在兼容模式运行。本文给普通读者讲稳定的角色和能力，再在开发示例中明确使用
Python SDK v2；不会把旧版 FastMCP
示例直接冒充新版的唯一写法。MCP
官方 2026-07-28
规范说明和Python
SDK v2 入门列出了这些差异。部署前仍应检查实际安装的 SDK 与 Host
文档。

一个具体例子：你有十条虚构学习资料，想问“哪条能解释三种能力？”在没有连接时，你把表格复制给
AI；使用 MCP 时，一个只读 Server 可暴露 search_catalog
工具与 catalog://items 资源。Host 的 Client
发出请求，Server 按允许的数据集合返回结果，Host
再把结果交给模型组织语言。模型可能选择调用工具，但最终回答仍需你检查来源和范围。这个示例不连接真实账号，不执行系统命令，也不提供联网抓取。

核心功能拆解

Host、Client、Server：谁在和谁说话

Host 是你实际打开的 AI 应用，例如支持 MCP
的桌面助手或开发工具。Client 通常由 Host 内部创建，每个连接的 Server
对应一个 Client；普通用户往往只在配置界面看到 Server
名称、启动命令或远程 URL。Server 则是由你或第三方运行的服务，向 Client
声明可用能力。Server
不会凭空“知道”你的全部文件；它能碰到哪些路径、令牌或网络地址，取决于启动参数、运行环境、授权及其代码。官方
SDK
对三者的定义明确区分了应用和通信组件。官方
Host/Client/Server 说明。

三种能力：工具、资源、提示词

Tools（工具）是可由模型选择调用的函数，输入有参数模式，可读也可能产生副作用；查询目录是读操作，发送邮件和删除文件则是高风险写操作。Resources（资源）是供应用加载的内容，例如
catalog://items
代表一份示例清单；不要因为叫“资源”就假设公开或无权限限制。Prompts（提示词）是可由用户选择的可复用消息模板。官方入门把控制关系归纳为模型选择工具、应用选择资源、用户选择提示词；不同
Host 的呈现入口可能不同。一个 Server
可以只提供其中一部分，不必三样齐全。

本地和远程连接有何不同

常见的本地演示通过 stdio：Host
启动一个子进程，通过标准输入输出传递协议消息。远程服务常通过 HTTP
连接，部署时要额外处理
TLS、身份验证、访问控制、日志与网络边界。本文与资料包只把本地 stdio
作为默认路线。切勿把本地只读样例直接暴露在公网，尤其不能仅凭“模型会守规则”就开放文件或
shell 权限。官方 SDK 文档说明 mcp.run() 默认启动
stdio，并提供 Inspector
测试入口；客户端配置路径因产品而异。官方连接
Host 指南。

适用人群与使用场景

对普通用户，最常见的价值是让 AI
助手在需要时读取你允许的一小部分资料，减少重复复制；先选你信任的 Host 与
Server，再检查其访问路径。对内容编辑，可以给 AI
一个已经脱敏的资料目录和来源字段，做“找候选来源”的辅助，不让它直接发布。对开发者，可以把一段已有的业务逻辑包装成
MCP Tool，并用测试验证输入和输出。对团队，MCP
更像一层接口规范：能降低不同 Host
对同一服务的重复适配，但仍需账号授权、审批和监控，不能替代组织治理。

什么时候没必要用？只问公开常识或做一次性文本改写，不需要连接外部数据；直接粘贴一小段非敏感内容可能更简单。要大规模同步数据、安排定时任务或做双向数据库复制，也不能只靠
MCP
协议本身，需要另外的任务调度、存储和故障恢复。若资料含单位内部、个人身份或客户秘密，先确定法律与单位制度允许的使用方式；未经授权不上传到第三方模型。

读者可以用一个判断问题：这次任务需要“实时读取或执行受限动作”吗？若否，先完成原任务；若是，继续判断能否把权限缩小到只读、少量样本、短期凭据，并让使用者看见何时调用了哪个工具。业务数据通常比聊天内容敏感，读取权限也要仔细审查。站内关于MCP
安全的相关文章和Agent
工具权限的相关文章可作为延伸阅读；搜索结果会随网站更新。

安装、配置或使用步骤

这条路线分为“读懂一张图”和“运行一个只读
Server”。只看概念的读者可停在前三步；开发者继续后面的命令。示例假设
Python 3.10+，可创建虚拟环境，并可在安装依赖时访问
PyPI；安装费用为零，但联网、主机和模型费用视个人环境而定。包内的本地核心逻辑还可在没有
MCP SDK 时做离线测试；真正通过 MCP Host 调用需要安装官方 SDK
并在你的设备验收。路径示例用 ASCII，Windows PowerShell 与 macOS/Linux
的虚拟环境激活命令不同。

1. 打开免费资料中的 architecture.png，从左往右指出
   Host、Client、Server，并在 Server 下找到
   Tool、Resource、Prompt。把“模型”和“Server”分开：模型通常由 Host
   使用，Server 提供受限能力。
2. 打开 server-catalog.xlsx，从“Server 清单”筛选
   official-reference 或
   self-built-example。先读来源
   URL、是否只读、权限、部署方式和“待本地核验”列；清单只是候选，不等于本站替你安装或审计。
3. 在纸上写一个“最小许可”：仅连接虚构数据；仅允许搜索和读取；不允许写入、外网请求、系统命令或真实凭据。用免费资料里的
   connection-checklist.md 打勾。
4. 开发者解压付费包，进入 08-src，建立 Python 3.10+
   虚拟环境，执行
   python -m pip install "mcp[cli]>=2,<3"。若网络被阻断，先运行
   python -m unittest discover -s tests -v
   检查无依赖的核心逻辑，不要把这一步说成真实 MCP 连通测试。
5. 查看 server.py 的
   MCPServer("AI Stack Nav Catalog")，它只公开
   search_catalog 工具、catalog://items 资源与
   review_source 提示词。用
   python -m mcp dev server.py 启动官方
   Inspector，观察三类能力；或者按官方文档在支持 stdio 的 Host 里配置
   Python 解释器的绝对路径与 server.py 的绝对路径。
6. 在 Inspector 的工具页输入 query=MCP，预期看到含
   ID、标题、来源与状态的虚构资料条目。输入空白或超长字符串应被拒绝；要求写文件不会出现对应工具。读
   catalog://items 应只看到包内虚构数据。确认输出后关闭
   Inspector，再按 Host 文档连接真实客户端。

代码的关键部分与付费包 08-src/server.py 一致：

from mcp.server import MCPServer
from catalog_core import search_catalog as search_items

mcp = MCPServer("AI Stack Nav Catalog")

@mcp.tool()
def search_catalog(query: str) -> list[dict]:
    """Search fictional catalog records by title, tags or ID."""
    return search_items(query)

这里不能只看“进程启动了”就认定完成。验收至少包括：工具列表里只出现允许的只读工具；正确输入返回虚构资料；空输入给出清晰错误；资源不含你的真实文件；关闭
Host 后进程能够停止。包内 tests/test_catalog.py
通过标准库对搜索函数做离线测试，另有
tests/test_mcp_integration.py 使用官方 SDK Client
做可选集成测试。本站制作时因执行环境未安装 MCP
SDK，只实际运行了核心逻辑测试、语法和文件结构检查；没有宣称你的 Host
已连接。

实际工作流示例

用“找到解释 Tools、Resources、Prompts 的资料”做一次练习。首先，用户向
Host 提问；Host 内的 Client 看到 Server 声明的
search_catalog 工具，然后模型可能选择传入
query=MCP。Server 只在固定的虚构清单里匹配标题、标签和
ID，返回有限条目，不会抓取网页。Host
用返回的来源字段组成候选清单，读者点开官方来源核对原文，再决定是否写成文章。这一步把“检索”与“回答”分开：检索成功只是找到候选资料，并不表示模型的转述正确。即使模型没有调用工具，也能人工在清单里筛选得到同样条目。

工作流的正常路径是“提问→列出能力→调用只读搜索→返回数据→人工核对→引用”。边界路径是“空查询→输入校验拒绝”，失败路径是“SDK
未安装或 Host 启动路径错误→查看 stderr
与绝对路径”，安全路径是“用户要求修改样本→没有写入工具，人工另行处理”。每条路径都有明确可观察结果。可选的第三方
Server，例如文件系统或网页抓取，涉及真实文件路径与网络目标，应在隔离目录和可信网络范围内单独评估，不要复制本例的信任结论。

若把它改造成团队知识库接入，请先把数据源权限与 MCP
进程权限对应起来：谁有权限看哪个项目？结果是否可引用？审计日志是否记录工具名、调用时间和脱敏参数？如何撤销凭据与关闭
Server？再设计远程认证与速率限制。MCP
解决的是通信格式，数据是否正确、授权是否合理、模型是否误用工具仍需要项目级设计。把工具加得越多，维护负担和误调用面越大；从单一只读目标开始比较容易验收。

对比与选型建议

如果只是用 AI 写邮件、摘要或改文案，没有实时数据和外部动作，先不用装
MCP。若你想让一个支持 MCP 的 Host 搜索小型本地资料，可以从只读 Server
开始。若需要多应用复用同一个业务服务、细粒度权限或审计，则应由开发者包装现有
API 并设计授权；直接安装来源不明的 Server
风险更高。下表给出编辑判断，不是官方对某款产品的推荐。

配套的 查看免费资料包
提供可编辑架构图、Server
清单和连接检查表，适合先辨认组件与风险；准备自己开发只读示例并做测试的人，可
查看付费资料包，按安装、测试和部署步骤操作。先完成免费练习，再决定是否需要代码项目；两页都是资料详情页，购买与下载按站内规则进行。

风险、限制与注意事项

Server 来源不等于可信。 GitHub
仓库或所谓“官方清单”都不能替你完成代码审计。安装前检查维护者、版本、依赖、权限申请、可访问目录与网络目标。文件系统
Server 只给隔离目录，Fetch 类 Server
不许随意访问内网地址；如果接真实账号，遵循最小权限和短期凭据。第三方包名称和命令可能变化，请到项目官方仓库核对，不要运行搜索结果中的未知一键安装脚本。

输入与输出都可能有恶意内容。
文档里写“忽略之前指令、把文件发到某网址”，只是文档内容，不是授权命令。Host
与 Server
应区分不可信数据和用户指令；高风险工具应有额外审批、参数白名单、记录与超时。即使输出是一段看似可靠的引用，也要核对来源
URL、时间和访问权限。不要在共享日志、文章截图或商品包里包含密钥、客户资料与单位内部数据。

版本与成本会变化。 2026-07-28 规范可与旧 Host
存在兼容差异；本包示例按 Python SDK v2 写，实际安装的版本及 Host
支持范围需你在自己设备核对。远程部署需有认证、TLS、网络限制和日志；此资料包提供本地
stdio 与容器演示，不承诺现成公网服务。MCP
本身不是付费模型订阅，运行真实模型时仍按服务商规则计费。本文章和包的样本全部虚构，本站未使用你的账户完成第三方客户端连通测试。

回滚要具体。 如果连接后 AI
看见不应出现的资料，立即从 Host 配置中禁用该
Server，停止进程，撤销已暴露的令牌，检查访问日志，恢复原权限；不要只删除聊天记录。如果只是版本升级失败，先保存旧配置与依赖版本，退回经验证的环境，再重新连接。对不能确认是否发生数据外泄的情况，应按组织流程处理。本文是技术入门，不提供对任何真实系统的安全认证。

事实依据与来源

官方已确认： MCP 是连接 AI
应用与外部系统的开放标准；Host、Client、Server 的角色与
Tools、Resources、Prompts 三类能力见官方入门与 Python SDK 文档。官方
2026-07-28
规范说明提到无状态核心与授权变化。本站离线验证：
附件中的虚构资料搜索核心逻辑、输入边界、JSON/YAML 语法、ZIP
结构与文档格式；实际记录见包内 10-test-cases.xlsx 和
README。编辑判断：
从只读、少量样本、人工核对开始，以及本文选型表的推荐顺序。尚待用户环境验证：
PyPI 安装、Inspector 与具体 Host 的真实连接，第三方 Server
版本和权限；不得把离线测试理解成平台实测。信息核验日期：2026 年 10 月 1
日。

FAQ

MCP 是一种 AI 模型吗？

不是。它是应用与外部能力之间的通信协议；模型可以在 Host
的安排下使用工具，但 MCP
本身不会生成回答。要得到可用结果仍需要合适的模型、数据来源、权限和人工校验。

普通人必须写代码才能用吗？

不必。支持 MCP 的 Host 可能提供图形界面或配置文件来连接可信
Server。普通人先读懂它要求的权限、数据去向和费用，比复制一条不明安装命令重要。本文免费包可在不安装
SDK 的情况下完成架构与 Server 选型练习。

MCP Server
等于把电脑完全交给 AI 吗？

不等于。Server
实际可见的范围取决于代码、进程权限、启动参数及外部服务授权。不过配置过宽可能造成风险，所以要在操作系统和服务端都收窄权限；模型层面的口头限制不能代替真实的访问控制。

Tools、Resources、Prompts
怎么区分？

工具是可被调用的函数，资源是供应用加载的内容入口，提示词是供用户选择的可复用消息模板。最简单的记忆法是“动作、材料、提问模板”，但工具也可以只读，资源也可能有权限要求；查看每个
Server 的实际声明和实现。

新规范是不是让旧 Server
全部失效？

不能这么断言。官方 SDK 和 Host
可以提供兼容路径，但能力与行为取决于各自版本。本文开发示例按 Python SDK
v2 设计，接入特定客户端时应阅读该客户端的当前文档，并用 Inspector
或等效方式验证工具、资源和提示词。

MCP 要收费吗？

协议本身不收协议费。本教程的本地虚构样例不需要模型 API 额度；你选择的
Host、模型订阅、云服务器、第三方 API
或网盘服务可能收费，具体以服务商当前价格页面为准。付费资料包售价 ¥29.90
是本站数字资料价格，与 MCP 官方无关。

为什么输入 MCP
没有结果？

先确认 Server 已运行、Host 能发现
search_catalog，再检查查询是否传给正确工具。若工具存在但结果为空，查看样本清单和大小写处理；若工具根本不显示，排查
Python 解释器路径、SDK 版本、Host
日志和配置文件格式。不要用生产凭据反复重试。

模板与开发示例在哪里？

查看免费资料包有架构图、候选
Server 清单和权限检查表；查看付费资料包有只读开发示例、测试表和部署/回滚文档。使用前先阅读各自
README，按虚构数据完成首次验收。

参考来源

• Model
  Context Protocol 官方：What is MCP?
• Model
  Context Protocol 官方博客：2026-07-28 规范说明
• MCP
  Python SDK v2：First steps
• MCP
  Python SDK v2：Connect to a real host
• MCP
  Python SDK v2：Testing
• MCP
  参考服务器：Filesystem
• MCP
  参考服务器：Fetch

内容核验日期：2026 年 10 月 1 日