程AI訪問本地MCP服務(wù)器：架構(gòu)約束與解決方案)
如果給現(xiàn)在的 AI 編程工具排名最尷尬的瞬間大概是這樣模型已經(jīng)能寫出像模像樣的代碼了但它看不到你本地?cái)?shù)據(jù)庫里的表結(jié)構(gòu)它能調(diào)用各種工具了但工具大多跑在云端根本碰不到你電腦里的文件。明明 AI 的能力在指數(shù)級(jí)增長可一旦涉及本地?cái)?shù)據(jù)就立刻變成了巧婦難為無米之炊。這個(gè)問題的根源在 MCP 的架構(gòu)約束里。MCPModel Context Protocol服務(wù)端往往部署在貼近數(shù)據(jù)的那臺(tái)機(jī)器上而 AI 客戶端卻越來越多地運(yùn)行在云端。于是一個(gè)非?，F(xiàn)實(shí)的需求出現(xiàn)了遠(yuǎn)程 AI 客戶端如何安全地調(diào)用本地 MCP 服務(wù)器上的工具。Forth MCP 就是針對(duì)這個(gè)需求出現(xiàn)的工具。從項(xiàng)目定位看它的目標(biāo)非常明確——give any remote AI client access to your local MCP servers也就是給任何遠(yuǎn)程 AI 客戶端一個(gè)訪問本地 MCP 服務(wù)器的入口。這篇文章不打算只復(fù)述一個(gè)項(xiàng)目而是想把整個(gè)工程問題講透MCP 的架構(gòu)約束到底是什么Forth MCP 這類工具解決的是哪一層問題以及即使不依賴它你也能用 SSH 隧道、內(nèi)網(wǎng)穿透等通用手段實(shí)現(xiàn)同一條鏈路。讀完你至少能判斷自己該不該引入這類工具以及接入時(shí)真正容易踩的坑在哪里。1. MCP 的架構(gòu)約束為什么服務(wù)器總在本地客戶端卻可能在云端MCP 的設(shè)計(jì)目標(biāo)很清晰標(biāo)準(zhǔn)化 AI 應(yīng)用與外部工具、數(shù)據(jù)源的連接方式。在 MCP 出現(xiàn)之前每個(gè) Agent 想接入一個(gè)新工具幾乎都要寫一遍專用的集成代碼。接入數(shù)據(jù)庫要寫驅(qū)動(dòng)接入瀏覽器要寫自動(dòng)化腳本接入內(nèi)部系統(tǒng)要寫 API 封裝。整個(gè)工具生態(tài)是碎片化的。MCP 出現(xiàn)后連接方式被抽象成了一個(gè)統(tǒng)一協(xié)議AI 客戶端負(fù)責(zé)發(fā)現(xiàn)和調(diào)用工具M(jìn)CP 服務(wù)器負(fù)責(zé)把具體能力包裝成標(biāo)準(zhǔn)接口。但這里有一個(gè)很容易被忽略的架構(gòu)細(xì)節(jié)MCP 最早的傳輸方式并不是 HTTP而是 stdio。也就是說AI 客戶端在本地直接啟動(dòng)一個(gè) MCP 服務(wù)器子進(jìn)程通過標(biāo)準(zhǔn)輸入輸出和它通信。這個(gè)設(shè)計(jì)在本地場景下非常好用不用開端口不用處理網(wǎng)絡(luò)權(quán)限不用糾結(jié)認(rèn)證拉起進(jìn)程就能用。MCP 最早要解決的恰恰是給本地 AI 編程工具接上本地文件系統(tǒng)和終端能力這個(gè)問題stdio 在當(dāng)時(shí)的場景里是最優(yōu)解。問題恰恰出在這個(gè)本地優(yōu)先的設(shè)計(jì)上。當(dāng) AI 客戶端跑在云端時(shí)stdio 完全不成立。云端進(jìn)程不可能直接啟動(dòng)你電腦上的子進(jìn)程也不可能訪問你本地磁盤里的文件。后來 MCP 協(xié)議也做了演進(jìn)新版本 SDK 加入了基于 HTTP 的傳輸方式服務(wù)端可以把能力暴露成標(biāo)準(zhǔn)的 HTTP 接口。但這只是解決了傳輸層能不能走 HTTP的問題并沒有解決你的本地 MCP Server 如何被遠(yuǎn)程客戶端找到的問題。你的機(jī)器沒有公網(wǎng) IP端口在防火墻后面服務(wù)也沒有域名。本地 MCP Server 與遠(yuǎn)程 AI 客戶端之間仍然隔著一條天然的網(wǎng)絡(luò)邊界。這條邊界就是 Forth MCP 這類工具存在的理由。2. MCP 核心概念三種角色、兩種傳輸與本地場景要理解 Forth MCP 的價(jià)值先要把 MCP 的幾個(gè)基礎(chǔ)概念拆開。很多人第一次配置 MCP 時(shí)會(huì)把 Host 和 Client 混為一談結(jié)果在配置界面里完全找不到方向。MCP 協(xié)議里有三個(gè)角色可以做一個(gè)簡單的類比Host 是用戶直接使用的 AI 應(yīng)用相當(dāng)于一個(gè)調(diào)度中心Client 是 Host 內(nèi)部負(fù)責(zé)建立具體連接的組件相當(dāng)于連接器Server 是能力提供方相當(dāng)于工具供應(yīng)商。一個(gè) Host 可以啟動(dòng)多個(gè) Client每個(gè) Client 連接一個(gè) Server。每個(gè) Server 內(nèi)部可以暴露多個(gè) Tool每個(gè) Tool 就是一個(gè)可以被 AI 調(diào)用的函數(shù)。這三個(gè)角色的關(guān)系可以這樣理解角色類比職責(zé)典型例子Host調(diào)度中心管理會(huì)話、決定何時(shí)調(diào)用工具Claude、Cursor、Codex、自研 AgentClient連接器與某個(gè) Server 建立連接每個(gè) Host 內(nèi)部的 MCP Client 組件Server工具供應(yīng)商提供可調(diào)用的工具能力文件系統(tǒng)、數(shù)據(jù)庫、瀏覽器操作服務(wù)MCP 的傳輸方式也經(jīng)歷過明顯變化。早期的實(shí)現(xiàn)以 stdio 為主適合本地進(jìn)程通信后來引入了基于 HTTP 的 Streamable HTTP 傳輸用服務(wù)端事件流的方式支持遠(yuǎn)程請(qǐng)求。對(duì)開發(fā)者來說選擇哪種傳輸方式取決于部署位置本地調(diào)試用 stdio 最快遠(yuǎn)程訪問則必須走 HTTP。本地 MCP Server 的典型場景包括讀取本地文件系統(tǒng)的工具、連接開發(fā)數(shù)據(jù)庫的查詢工具、控制本地瀏覽器的自動(dòng)化工具、讀取 IDE 上下文的輔助工具。這些工具的共同特點(diǎn)都是需要訪問本機(jī)資源。在本地運(yùn)行時(shí)它們的數(shù)據(jù)不出機(jī)器安全邊界非常清晰。一旦引入遠(yuǎn)程訪問這個(gè)安全邊界就不再天然成立而是需要額外的機(jī)制來保證。3. Forth MCP 的定位給遠(yuǎn)程 AI 客戶端一個(gè)訪問本地 MCP 的入口從項(xiàng)目標(biāo)題來判斷Forth MCP 做的事情非常聚焦讓任何遠(yuǎn)程 AI 客戶端都能訪問本地的 MCP 服務(wù)器。這個(gè)表述里有三個(gè)關(guān)鍵詞值得逐字拆解。第一個(gè)關(guān)鍵詞是任何。它說明這個(gè)工具試圖做到協(xié)議層兼容而不是綁定某一家模型廠商、某個(gè) IDE 或某個(gè)特定 Agent 框架。當(dāng)前 AI 工具市場非常分裂有云端助手、有本地 IDE、有命令行 Agent每個(gè)工具的 MCP 接入方式都不完全一樣。如果有一個(gè)通用通道能讓這些客戶端統(tǒng)一訪問本地 MCP那么本地工具能力就變成了一種可復(fù)用的網(wǎng)絡(luò)服務(wù)。第二個(gè)關(guān)鍵詞是遠(yuǎn)程。它明確說明訪問方與被訪問方不在同一臺(tái)機(jī)器上。遠(yuǎn)程訪問要解決的核心問題包括如何穿過 NAT 和防火墻、如何保持長連接穩(wěn)定、如何防止未授權(quán)訪問。這不只是把端口映射出去那么簡單。第三個(gè)關(guān)鍵詞是本地。它強(qiáng)調(diào) MCP Server 仍然運(yùn)行在本地而不是被部署到云端。這個(gè)設(shè)計(jì)的直接好處是數(shù)據(jù)不用出域MCP Server 讀取數(shù)據(jù)庫、操作文件系統(tǒng)時(shí)所有數(shù)據(jù)仍然停留在本地機(jī)器上。遠(yuǎn)程 AI 客戶端通過工具調(diào)用拿到的只是結(jié)果而不是完整的本地?cái)?shù)據(jù)權(quán)限。從技術(shù)架構(gòu)上推斷Forth MCP 比較合理的實(shí)現(xiàn)方式是在本地啟動(dòng)一個(gè)網(wǎng)關(guān)進(jìn)程它通過 stdio 或本地 HTTP 與 MCP Server 通信再通過一條經(jīng)過認(rèn)證和加密的通道把能力暴露給遠(yuǎn)程 AI 客戶端。遠(yuǎn)程客戶端看到的是一個(gè)標(biāo)準(zhǔn)的 MCP 輸入輸出而真正的工具執(zhí)行仍然發(fā)生在本地。這個(gè)本地執(zhí)行、遠(yuǎn)程調(diào)用的模型本質(zhì)上是在 MCP 之上又疊加了一層遠(yuǎn)程訪問能力。需要說明的是Forth MCP 仍是一個(gè)發(fā)展階段的項(xiàng)目具體安裝方式、配置參數(shù)和命令行用法請(qǐng)以項(xiàng)目倉庫 README 為準(zhǔn)。下文要講的通用方案不依賴這個(gè)項(xiàng)目也可以落地而且這恰恰是理解它價(jià)值的最快方式先自己把鏈路搭一遍你就知道它幫你省掉了哪部分工作。4. Agent Skill 與 MCP兩個(gè)高頻概念的區(qū)別與互補(bǔ)最近在很多技術(shù)討論里有一個(gè)問題反復(fù)出現(xiàn)Agent Skill 和 MCP 到底有什么區(qū)別這個(gè)困惑很正常因?yàn)橹髁鞯?Agent 平臺(tái)都在推自己的技能框架文檔里又把 MCP 和工具調(diào)用放在一起講很容易讓開發(fā)者覺得兩者是同類東西。Skill 的本質(zhì)是提示詞 示例的打包。它告訴 Agent 面對(duì)某個(gè)場景時(shí)應(yīng)該怎么做比如當(dāng)用戶要求生成圖表時(shí)調(diào)用這個(gè) Python 腳本并按這個(gè) JSON 格式解析結(jié)果。Skill 更像是一份給 Agent 看的操作手冊(cè)優(yōu)點(diǎn)是靈活、編寫成本低缺點(diǎn)是沒有統(tǒng)一的運(yùn)行時(shí)標(biāo)準(zhǔn)不同平臺(tái)之間的 Skill 不能直接互通。MCP 的本質(zhì)是協(xié)議 運(yùn)行時(shí)。它定義了客戶端和服務(wù)端之間如何發(fā)現(xiàn)工具、如何發(fā)起調(diào)用、如何返回結(jié)果并且提供了統(tǒng)一的數(shù)據(jù)格式。Server 負(fù)責(zé)真正執(zhí)行Client 只按協(xié)議調(diào)用。它比 Skill 更重但換來的是跨平臺(tái)兼容性和可復(fù)用的能力部署。用一個(gè)類比來說Skill 像是給新人準(zhǔn)備的 SOP 文檔告訴它遇到什么情況按什么步驟處理MCP 像是公司內(nèi)部統(tǒng)一制定的 RPC 接口規(guī)范所有的服務(wù)都按這個(gè)規(guī)范接入調(diào)用方不需要關(guān)心服務(wù)內(nèi)部怎么實(shí)現(xiàn)。Skill 解決怎么做的問題MCP 解決怎么穩(wěn)定連接和調(diào)用的問題。這兩個(gè)概念不能互相替代實(shí)際項(xiàng)目里通?；パa(bǔ)使用Agent 通過 Skill 決定在什么場景下選擇哪個(gè)工具再通過 MCP 以標(biāo)準(zhǔn)方式調(diào)用這個(gè)工具的具體能力。Forth MCP 所在的位置是 MCP 這一層它把本地工具被遠(yuǎn)程調(diào)用變成網(wǎng)絡(luò)服務(wù)而具體的技能編排仍然由 AI 客戶端自己完成。5. 環(huán)境準(zhǔn)備與最小 MCP Server 示例在打通遠(yuǎn)程訪問之前先準(zhǔn)備一個(gè)能跑的最小 MCP Server。這里我們用社區(qū)里很常見的 FastMCP 封裝來做演示它的 API 比較簡潔適合快速搭建工具服務(wù)。依賴安裝和示例代碼如下。環(huán)境準(zhǔn)備清單一臺(tái)可以作為部署環(huán)境的本地機(jī)器操作系統(tǒng)不限Linux / macOS / Windows。Python 3.9 及以上版本pip 可用。一臺(tái)有公網(wǎng) IP 的中繼服務(wù)器用于后面的 SSH 隧道或內(nèi)網(wǎng)穿透方案。一個(gè)遠(yuǎn)程 AI 客戶端比如你正在用的云端編程助手或自建的 Agent 程序。安裝依賴pip install fastmcp然后創(chuàng)建最小 MCP Server 文件。這個(gè)服務(wù)只暴露一個(gè)查詢磁盤占用的工具用來驗(yàn)證鏈路是否通暢。# 文件路徑mcp_local_server.py from fastmcp import FastMCP mcp FastMCP(local-utils) mcp.tool() def query_disk_usage(path: str /) - str: 查詢磁盤占用情況用于演示本地工具能力。 Args: path: 要查詢的目錄路徑。 Returns: 包含 total/used/free 的磁盤信息字符串。 import shutil usage shutil.disk_usage(path) return ftotal{usage.total}, used{usage.used}, free{usage.free} if __name__ __main__: mcp.run()啟動(dòng)這個(gè)服務(wù)python mcp_local_server.py這里有一個(gè)需要特別注意的版本差異FastMCP 的mcp.run()默認(rèn)可能使用 stdio 傳輸模式這種模式只適合本地進(jìn)程調(diào)用。如果要把這個(gè)服務(wù)放到網(wǎng)絡(luò)上供遠(yuǎn)程客戶端訪問需要根據(jù)你安裝的 FastMCP 版本文檔把傳輸模式調(diào)整為基于 HTTP 的 Streamable HTTP 模式。不同版本的參數(shù)名稱和執(zhí)行細(xì)節(jié)有差異請(qǐng)以你實(shí)際安裝版本的官方文檔為準(zhǔn)。后面的隧道方案都是假設(shè)本地 MCP Server 已經(jīng)變成 HTTP 服務(wù)并監(jiān)聽在某個(gè)端口上。如果你用curl在本地能訪問到這個(gè) HTTP 服務(wù)說明 MCP Server 已經(jīng)具備被遠(yuǎn)程訪問的傳輸基礎(chǔ)。下面的工作就是打通網(wǎng)絡(luò)鏈路。6. 通用方案一SSH 反向隧道打通遠(yuǎn)程訪問如果你想在十分鐘內(nèi)驗(yàn)證遠(yuǎn)程 AI 客戶端訪問本地 MCP Server這條路最簡單可靠的工具是 SSH 反向隧道。它不依賴任何第三方穿透服務(wù)只需要一臺(tái)有公網(wǎng) IP 的中繼服務(wù)器。原理并不復(fù)雜本地機(jī)器主動(dòng)向中繼服務(wù)器建立一條 SSH 連接同時(shí)讓中繼服務(wù)器監(jiān)聽某個(gè)端口所有到達(dá)這個(gè)端口的請(qǐng)求都會(huì)通過加密的 SSH 隧道轉(zhuǎn)發(fā)到本地 MCP Server 的端口。相當(dāng)于從公網(wǎng)打了一條穿回你內(nèi)網(wǎng)的加密管道。假設(shè)中繼服務(wù)器的 IP 是 203.0.113.10文檔示例地址本地 MCP Server 監(jiān)聽在 8765 端口執(zhí)行下面的命令ssh -R 8900:localhost:8765 root203.0.113.10 -N命令參數(shù)說明-R 8900:localhost:8765在中繼服務(wù)器上開放 8900 端口所有到達(dá)該端口的請(qǐng)求轉(zhuǎn)發(fā)到本機(jī)的 8765 端口。-N只做端口轉(zhuǎn)發(fā)不執(zhí)行遠(yuǎn)程命令。中繼服務(wù)器的 SSH 配置里需要允許 GatewayPorts否則遠(yuǎn)程客戶端無法通過服務(wù)器公網(wǎng) IP 訪問監(jiān)聽的端口。隧道建立后遠(yuǎn)程 AI 客戶端的 MCP Server 地址可以配置成類似下面的格式{ mcpServers: { local-utils-remote: { url: http://203.0.113.10:8900/mcp } } }這里有兩個(gè)關(guān)鍵點(diǎn)。第一URL 中的路徑必須和 MCP Server 暴露的真實(shí)路徑一致不同 SDK 的默認(rèn)路徑存在差異以實(shí)際服務(wù)輸出為準(zhǔn)。第二SSH 隧道本身提供了鏈路加密但 MCP Server 如果沒有認(rèn)證任何人都可以調(diào)用你的工具。因此長期使用前至少要在接入層增加令牌認(rèn)證或者用防火墻限制來源 IP。SSH 隧道方案的優(yōu)勢是零額外依賴、免費(fèi)、穩(wěn)定缺點(diǎn)是配置比較原始。連接斷開后不會(huì)自動(dòng)重連多個(gè) MCP Server 需要多條隧道管理成本會(huì)上升。如果只是驗(yàn)證概念這個(gè)方案足夠用如果要長期跑在團(tuán)隊(duì)協(xié)作環(huán)境里可以考慮下一節(jié)的內(nèi)網(wǎng)穿透方案。7. 通用方案二內(nèi)網(wǎng)穿透工具的工程化落地把本地 MCP Server 暴露到公網(wǎng)如果不想維護(hù)自己的公網(wǎng)服務(wù)器可以先用 cloudflared 的 Quick Tunnel。它只需要一行命令就能把本地端口映射成一個(gè)臨時(shí)的公網(wǎng) HTTPS 地址。cloudflared tunnel --url http://localhost:8765啟動(dòng)后終端會(huì)輸出一個(gè)https://xxx.trycloudflare.com形式的地址。這個(gè)地址自帶 HTTPS不需要額外域名把遠(yuǎn)程 AI 客戶端的 MCP Server 地址配置成這個(gè) HTTPS 地址即可。它的最大優(yōu)點(diǎn)是零配置、上手快缺點(diǎn)是臨時(shí)隧道地址不穩(wěn)定重啟后地址會(huì)變化不適合長期生產(chǎn)使用。如果需要固定地址和更細(xì)粒度的訪問控制可以考慮自建 frp 方案。frp 分為服務(wù)端和客戶端兩個(gè)部分服務(wù)端 frps 運(yùn)行在有公網(wǎng) IP 的機(jī)器上客戶端 frpc 運(yùn)行在本地機(jī)器上兩者通過配置的 token 做認(rèn)證。服務(wù)端配置示例# 文件路徑frps.toml bindPort 7000 auth.token 請(qǐng)換成你自己的強(qiáng)密碼客戶端配置示例# 文件路徑frpc.toml serverAddr 203.0.113.10 serverPort 7000 auth.token 請(qǐng)換成你自己的強(qiáng)密碼 [[proxies]] name mcp-local-utils type tcp localIP 127.0.0.1 localPort 8765 remotePort 8900啟動(dòng)命令./frps -c frps.toml ./frpc -c frpc.tomlfrp 的方案自托管、控制力強(qiáng)能支持 TCP、HTTP 等多種協(xié)議適合長期運(yùn)行。但也要注意它的安全性完全取決于你的配置token 強(qiáng)度、服務(wù)端防火墻、端口暴露范圍都直接影響風(fēng)險(xiǎn)等級(jí)。建議服務(wù)端只對(duì)必要的來源 IP 開放并定期更換認(rèn)證 token。不管是 SSH 隧道還是 frp本質(zhì)上都只是在傳輸層打通了網(wǎng)絡(luò)。真正讓遠(yuǎn)程 AI 客戶端能識(shí)別并調(diào)用 MCP 工具前提是 MCP Server 的傳輸方式與遠(yuǎn)程客戶端兼容。如果本地 MCP Server 只支持 stdio無論隧道建得多好遠(yuǎn)程客戶端也接不上。所以遠(yuǎn)程可訪問的 MCP Server 必須使用 HTTP 類傳輸這句話值得在接入前反復(fù)確認(rèn)。8. 安全邊界暴露本地 MCP 前必須守住的紅線把本地 MCP Server 暴露給遠(yuǎn)程 AI 客戶端這件事本身就伴隨風(fēng)險(xiǎn)。和普通 HTTP 接口不同MCP Server 暴露的是工具調(diào)用能力調(diào)用結(jié)果可能直接影響本地系統(tǒng)。一個(gè)只讀的文件查詢工具和一個(gè)可以執(zhí)行任意命令的工具風(fēng)險(xiǎn)等級(jí)完全不是一回事。首先是最小權(quán)限原則。MCP Server 里的每個(gè)工具都應(yīng)該盡量只做一件事只能訪問它必需的數(shù)據(jù)范圍。比如數(shù)據(jù)庫工具只暴露只讀查詢不要暴露刪除和更新文件操作工具限制可訪問的目錄不要讓 Agent 擁有遍歷整個(gè)文件系統(tǒng)的能力。工具內(nèi)部也應(yīng)該有路徑校驗(yàn)防止通過../之類的穿越手段訪問白名單之外的目錄。其次是認(rèn)證與授權(quán)隔離。凡是能遠(yuǎn)程訪問的 MCP Server接入層必須做認(rèn)證。最簡單的做法是在網(wǎng)關(guān)層配置一個(gè)靜態(tài)令牌遠(yuǎn)程客戶端每次請(qǐng)求都攜帶該令牌。更嚴(yán)格的做法是為不同客戶端分配獨(dú)立憑據(jù)同時(shí)記錄每個(gè)憑據(jù)的調(diào)用記錄。這樣即使某個(gè)憑據(jù)泄露也能快速定位并單獨(dú)撤銷。然后是審計(jì)日志。MCP Server 每次收到工具調(diào)用都應(yīng)該記錄調(diào)用時(shí)間、來源、參數(shù)和返回結(jié)果摘要。審計(jì)日志不是為了當(dāng)時(shí)解決問題而是為了將來出問題時(shí)能最快還原現(xiàn)場。這個(gè)機(jī)制的成本很低收益卻非常大尤其是當(dāng)多個(gè)遠(yuǎn)程客戶端共享同一個(gè) MCP Server 時(shí)。鏈路加密同樣不能省略。SSH 隧道和 cloudflared 默認(rèn)自帶加密自建 frp 時(shí)要確認(rèn)傳輸層是加密的。MCP 請(qǐng)求參數(shù)中可能攜帶敏感信息比如數(shù)據(jù)庫查詢條件、文件路徑、內(nèi)部報(bào)錯(cuò)內(nèi)容明文傳輸?shù)焦W(wǎng)上是不可接受的。最后有些 MCP Server 根本不適合暴露到遠(yuǎn)程。直接控制鼠標(biāo)鍵盤、直接操作瀏覽器登錄態(tài)、直接持有云平臺(tái)密鑰的工具建議只保留在本地交互場景使用。這類工具一旦被遠(yuǎn)程濫用影響范圍遠(yuǎn)超數(shù)據(jù)泄露可能是對(duì)本地系統(tǒng)的直接控制。Forth MCP 這類工具如果實(shí)現(xiàn)得好應(yīng)該把一部分安全能力做成內(nèi)置功能上層認(rèn)證、可暴露的 Server 清單管理、調(diào)用日志等。這其實(shí)是它相對(duì)通用內(nèi)網(wǎng)穿透工具更有價(jià)值的地方通用隧道只解決網(wǎng)絡(luò)能通而 MCP 專用通道還要解決調(diào)用是否安全可控。9. 常見 遠(yuǎn)程AI訪問本地MCP服務(wù)器：架構(gòu)約束與解決方案
如果給現(xiàn)在的 AI 編程工具排名最尷尬的瞬間大概是這樣模型已經(jīng)能寫出像模像樣的代碼了但它看不到你本地?cái)?shù)據(jù)庫里的表結(jié)構(gòu)它能調(diào)用各種工具了但工具大多跑在云端根本碰不到你電腦里的文件。明明 AI 的能力在指數(shù)級(jí)增長可一旦涉及本地?cái)?shù)據(jù)就立刻變成了巧婦難為無米之炊。這個(gè)問題的根源在 MCP 的架構(gòu)約束里。MCPModel Context Protocol服務(wù)端往往部署在貼近數(shù)據(jù)的那臺(tái)機(jī)器上而 AI 客戶端卻越來越多地運(yùn)行在云端。于是一個(gè)非?，F(xiàn)實(shí)的需求出現(xiàn)了遠(yuǎn)程 AI 客戶端如何安全地調(diào)用本地 MCP 服務(wù)器上的工具。Forth MCP 就是針對(duì)這個(gè)需求出現(xiàn)的工具。從項(xiàng)目定位看它的目標(biāo)非常明確——give any remote AI client access to your local MCP servers也就是給任何遠(yuǎn)程 AI 客戶端一個(gè)訪問本地 MCP 服務(wù)器的入口。這篇文章不打算只復(fù)述一個(gè)項(xiàng)目而是想把整個(gè)工程問題講透MCP 的架構(gòu)約束到底是什么Forth MCP 這類工具解決的是哪一層問題以及即使不依賴它你也能用 SSH 隧道、內(nèi)網(wǎng)穿透等通用手段實(shí)現(xiàn)同一條鏈路。讀完你至少能判斷自己該不該引入這類工具以及接入時(shí)真正容易踩的坑在哪里。1. MCP 的架構(gòu)約束為什么服務(wù)器總在本地客戶端卻可能在云端MCP 的設(shè)計(jì)目標(biāo)很清晰標(biāo)準(zhǔn)化 AI 應(yīng)用與外部工具、數(shù)據(jù)源的連接方式。在 MCP 出現(xiàn)之前每個(gè) Agent 想接入一個(gè)新工具幾乎都要寫一遍專用的集成代碼。接入數(shù)據(jù)庫要寫驅(qū)動(dòng)接入瀏覽器要寫自動(dòng)化腳本接入內(nèi)部系統(tǒng)要寫 API 封裝。整個(gè)工具生態(tài)是碎片化的。MCP 出現(xiàn)后連接方式被抽象成了一個(gè)統(tǒng)一協(xié)議AI 客戶端負(fù)責(zé)發(fā)現(xiàn)和調(diào)用工具M(jìn)CP 服務(wù)器負(fù)責(zé)把具體能力包裝成標(biāo)準(zhǔn)接口。但這里有一個(gè)很容易被忽略的架構(gòu)細(xì)節(jié)MCP 最早的傳輸方式并不是 HTTP而是 stdio。也就是說AI 客戶端在本地直接啟動(dòng)一個(gè) MCP 服務(wù)器子進(jìn)程通過標(biāo)準(zhǔn)輸入輸出和它通信。這個(gè)設(shè)計(jì)在本地場景下非常好用不用開端口不用處理網(wǎng)絡(luò)權(quán)限不用糾結(jié)認(rèn)證拉起進(jìn)程就能用。MCP 最早要解決的恰恰是給本地 AI 編程工具接上本地文件系統(tǒng)和終端能力這個(gè)問題stdio 在當(dāng)時(shí)的場景里是最優(yōu)解。問題恰恰出在這個(gè)本地優(yōu)先的設(shè)計(jì)上。當(dāng) AI 客戶端跑在云端時(shí)stdio 完全不成立。云端進(jìn)程不可能直接啟動(dòng)你電腦上的子進(jìn)程也不可能訪問你本地磁盤里的文件。后來 MCP 協(xié)議也做了演進(jìn)新版本 SDK 加入了基于 HTTP 的傳輸方式服務(wù)端可以把能力暴露成標(biāo)準(zhǔn)的 HTTP 接口。但這只是解決了傳輸層能不能走 HTTP的問題并沒有解決你的本地 MCP Server 如何被遠(yuǎn)程客戶端找到的問題。你的機(jī)器沒有公網(wǎng) IP端口在防火墻后面服務(wù)也沒有域名。本地 MCP Server 與遠(yuǎn)程 AI 客戶端之間仍然隔著一條天然的網(wǎng)絡(luò)邊界。這條邊界就是 Forth MCP 這類工具存在的理由。2. MCP 核心概念三種角色、兩種傳輸與本地場景要理解 Forth MCP 的價(jià)值先要把 MCP 的幾個(gè)基礎(chǔ)概念拆開。很多人第一次配置 MCP 時(shí)會(huì)把 Host 和 Client 混為一談結(jié)果在配置界面里完全找不到方向。MCP 協(xié)議里有三個(gè)角色可以做一個(gè)簡單的類比Host 是用戶直接使用的 AI 應(yīng)用相當(dāng)于一個(gè)調(diào)度中心Client 是 Host 內(nèi)部負(fù)責(zé)建立具體連接的組件相當(dāng)于連接器Server 是能力提供方相當(dāng)于工具供應(yīng)商。一個(gè) Host 可以啟動(dòng)多個(gè) Client每個(gè) Client 連接一個(gè) Server。每個(gè) Server 內(nèi)部可以暴露多個(gè) Tool每個(gè) Tool 就是一個(gè)可以被 AI 調(diào)用的函數(shù)。這三個(gè)角色的關(guān)系可以這樣理解角色類比職責(zé)典型例子Host調(diào)度中心管理會(huì)話、決定何時(shí)調(diào)用工具Claude、Cursor、Codex、自研 AgentClient連接器與某個(gè) Server 建立連接每個(gè) Host 內(nèi)部的 MCP Client 組件Server工具供應(yīng)商提供可調(diào)用的工具能力文件系統(tǒng)、數(shù)據(jù)庫、瀏覽器操作服務(wù)MCP 的傳輸方式也經(jīng)歷過明顯變化。早期的實(shí)現(xiàn)以 stdio 為主適合本地進(jìn)程通信后來引入了基于 HTTP 的 Streamable HTTP 傳輸用服務(wù)端事件流的方式支持遠(yuǎn)程請(qǐng)求。對(duì)開發(fā)者來說選擇哪種傳輸方式取決于部署位置本地調(diào)試用 stdio 最快遠(yuǎn)程訪問則必須走 HTTP。本地 MCP Server 的典型場景包括讀取本地文件系統(tǒng)的工具、連接開發(fā)數(shù)據(jù)庫的查詢工具、控制本地瀏覽器的自動(dòng)化工具、讀取 IDE 上下文的輔助工具。這些工具的共同特點(diǎn)都是需要訪問本機(jī)資源。在本地運(yùn)行時(shí)它們的數(shù)據(jù)不出機(jī)器安全邊界非常清晰。一旦引入遠(yuǎn)程訪問這個(gè)安全邊界就不再天然成立而是需要額外的機(jī)制來保證。3. Forth MCP 的定位給遠(yuǎn)程 AI 客戶端一個(gè)訪問本地 MCP 的入口從項(xiàng)目標(biāo)題來判斷Forth MCP 做的事情非常聚焦讓任何遠(yuǎn)程 AI 客戶端都能訪問本地的 MCP 服務(wù)器。這個(gè)表述里有三個(gè)關(guān)鍵詞值得逐字拆解。第一個(gè)關(guān)鍵詞是任何。它說明這個(gè)工具試圖做到協(xié)議層兼容而不是綁定某一家模型廠商、某個(gè) IDE 或某個(gè)特定 Agent 框架。當(dāng)前 AI 工具市場非常分裂有云端助手、有本地 IDE、有命令行 Agent每個(gè)工具的 MCP 接入方式都不完全一樣。如果有一個(gè)通用通道能讓這些客戶端統(tǒng)一訪問本地 MCP那么本地工具能力就變成了一種可復(fù)用的網(wǎng)絡(luò)服務(wù)。第二個(gè)關(guān)鍵詞是遠(yuǎn)程。它明確說明訪問方與被訪問方不在同一臺(tái)機(jī)器上。遠(yuǎn)程訪問要解決的核心問題包括如何穿過 NAT 和防火墻、如何保持長連接穩(wěn)定、如何防止未授權(quán)訪問。這不只是把端口映射出去那么簡單。第三個(gè)關(guān)鍵詞是本地。它強(qiáng)調(diào) MCP Server 仍然運(yùn)行在本地而不是被部署到云端。這個(gè)設(shè)計(jì)的直接好處是數(shù)據(jù)不用出域MCP Server 讀取數(shù)據(jù)庫、操作文件系統(tǒng)時(shí)所有數(shù)據(jù)仍然停留在本地機(jī)器上。遠(yuǎn)程 AI 客戶端通過工具調(diào)用拿到的只是結(jié)果而不是完整的本地?cái)?shù)據(jù)權(quán)限。從技術(shù)架構(gòu)上推斷Forth MCP 比較合理的實(shí)現(xiàn)方式是在本地啟動(dòng)一個(gè)網(wǎng)關(guān)進(jìn)程它通過 stdio 或本地 HTTP 與 MCP Server 通信再通過一條經(jīng)過認(rèn)證和加密的通道把能力暴露給遠(yuǎn)程 AI 客戶端。遠(yuǎn)程客戶端看到的是一個(gè)標(biāo)準(zhǔn)的 MCP 輸入輸出而真正的工具執(zhí)行仍然發(fā)生在本地。這個(gè)本地執(zhí)行、遠(yuǎn)程調(diào)用的模型本質(zhì)上是在 MCP 之上又疊加了一層遠(yuǎn)程訪問能力。需要說明的是Forth MCP 仍是一個(gè)發(fā)展階段的項(xiàng)目具體安裝方式、配置參數(shù)和命令行用法請(qǐng)以項(xiàng)目倉庫 README 為準(zhǔn)。下文要講的通用方案不依賴這個(gè)項(xiàng)目也可以落地而且這恰恰是理解它價(jià)值的最快方式先自己把鏈路搭一遍你就知道它幫你省掉了哪部分工作。4. Agent Skill 與 MCP兩個(gè)高頻概念的區(qū)別與互補(bǔ)最近在很多技術(shù)討論里有一個(gè)問題反復(fù)出現(xiàn)Agent Skill 和 MCP 到底有什么區(qū)別這個(gè)困惑很正常因?yàn)橹髁鞯?Agent 平臺(tái)都在推自己的技能框架文檔里又把 MCP 和工具調(diào)用放在一起講很容易讓開發(fā)者覺得兩者是同類東西。Skill 的本質(zhì)是提示詞 示例的打包。它告訴 Agent 面對(duì)某個(gè)場景時(shí)應(yīng)該怎么做比如當(dāng)用戶要求生成圖表時(shí)調(diào)用這個(gè) Python 腳本并按這個(gè) JSON 格式解析結(jié)果。Skill 更像是一份給 Agent 看的操作手冊(cè)優(yōu)點(diǎn)是靈活、編寫成本低缺點(diǎn)是沒有統(tǒng)一的運(yùn)行時(shí)標(biāo)準(zhǔn)不同平臺(tái)之間的 Skill 不能直接互通。MCP 的本質(zhì)是協(xié)議 運(yùn)行時(shí)。它定義了客戶端和服務(wù)端之間如何發(fā)現(xiàn)工具、如何發(fā)起調(diào)用、如何返回結(jié)果并且提供了統(tǒng)一的數(shù)據(jù)格式。Server 負(fù)責(zé)真正執(zhí)行Client 只按協(xié)議調(diào)用。它比 Skill 更重但換來的是跨平臺(tái)兼容性和可復(fù)用的能力部署。用一個(gè)類比來說Skill 像是給新人準(zhǔn)備的 SOP 文檔告訴它遇到什么情況按什么步驟處理MCP 像是公司內(nèi)部統(tǒng)一制定的 RPC 接口規(guī)范所有的服務(wù)都按這個(gè)規(guī)范接入調(diào)用方不需要關(guān)心服務(wù)內(nèi)部怎么實(shí)現(xiàn)。Skill 解決怎么做的問題MCP 解決怎么穩(wěn)定連接和調(diào)用的問題。這兩個(gè)概念不能互相替代實(shí)際項(xiàng)目里通?；パa(bǔ)使用Agent 通過 Skill 決定在什么場景下選擇哪個(gè)工具再通過 MCP 以標(biāo)準(zhǔn)方式調(diào)用這個(gè)工具的具體能力。Forth MCP 所在的位置是 MCP 這一層它把本地工具被遠(yuǎn)程調(diào)用變成網(wǎng)絡(luò)服務(wù)而具體的技能編排仍然由 AI 客戶端自己完成。5. 環(huán)境準(zhǔn)備與最小 MCP Server 示例在打通遠(yuǎn)程訪問之前先準(zhǔn)備一個(gè)能跑的最小 MCP Server。這里我們用社區(qū)里很常見的 FastMCP 封裝來做演示它的 API 比較簡潔適合快速搭建工具服務(wù)。依賴安裝和示例代碼如下。環(huán)境準(zhǔn)備清單一臺(tái)可以作為部署環(huán)境的本地機(jī)器操作系統(tǒng)不限Linux / macOS / Windows。Python 3.9 及以上版本pip 可用。一臺(tái)有公網(wǎng) IP 的中繼服務(wù)器用于后面的 SSH 隧道或內(nèi)網(wǎng)穿透方案。一個(gè)遠(yuǎn)程 AI 客戶端比如你正在用的云端編程助手或自建的 Agent 程序。安裝依賴pip install fastmcp然后創(chuàng)建最小 MCP Server 文件。這個(gè)服務(wù)只暴露一個(gè)查詢磁盤占用的工具用來驗(yàn)證鏈路是否通暢。# 文件路徑mcp_local_server.py from fastmcp import FastMCP mcp FastMCP(local-utils) mcp.tool() def query_disk_usage(path: str /) - str: 查詢磁盤占用情況用于演示本地工具能力。 Args: path: 要查詢的目錄路徑。 Returns: 包含 total/used/free 的磁盤信息字符串。 import shutil usage shutil.disk_usage(path) return ftotal{usage.total}, used{usage.used}, free{usage.free} if __name__ __main__: mcp.run()啟動(dòng)這個(gè)服務(wù)python mcp_local_server.py這里有一個(gè)需要特別注意的版本差異FastMCP 的mcp.run()默認(rèn)可能使用 stdio 傳輸模式這種模式只適合本地進(jìn)程調(diào)用。如果要把這個(gè)服務(wù)放到網(wǎng)絡(luò)上供遠(yuǎn)程客戶端訪問需要根據(jù)你安裝的 FastMCP 版本文檔把傳輸模式調(diào)整為基于 HTTP 的 Streamable HTTP 模式。不同版本的參數(shù)名稱和執(zhí)行細(xì)節(jié)有差異請(qǐng)以你實(shí)際安裝版本的官方文檔為準(zhǔn)。后面的隧道方案都是假設(shè)本地 MCP Server 已經(jīng)變成 HTTP 服務(wù)并監(jiān)聽在某個(gè)端口上。如果你用curl在本地能訪問到這個(gè) HTTP 服務(wù)說明 MCP Server 已經(jīng)具備被遠(yuǎn)程訪問的傳輸基礎(chǔ)。下面的工作就是打通網(wǎng)絡(luò)鏈路。6. 通用方案一SSH 反向隧道打通遠(yuǎn)程訪問如果你想在十分鐘內(nèi)驗(yàn)證遠(yuǎn)程 AI 客戶端訪問本地 MCP Server這條路最簡單可靠的工具是 SSH 反向隧道。它不依賴任何第三方穿透服務(wù)只需要一臺(tái)有公網(wǎng) IP 的中繼服務(wù)器。原理并不復(fù)雜本地機(jī)器主動(dòng)向中繼服務(wù)器建立一條 SSH 連接同時(shí)讓中繼服務(wù)器監(jiān)聽某個(gè)端口所有到達(dá)這個(gè)端口的請(qǐng)求都會(huì)通過加密的 SSH 隧道轉(zhuǎn)發(fā)到本地 MCP Server 的端口。相當(dāng)于從公網(wǎng)打了一條穿回你內(nèi)網(wǎng)的加密管道。假設(shè)中繼服務(wù)器的 IP 是 203.0.113.10文檔示例地址本地 MCP Server 監(jiān)聽在 8765 端口執(zhí)行下面的命令ssh -R 8900:localhost:8765 root203.0.113.10 -N命令參數(shù)說明-R 8900:localhost:8765在中繼服務(wù)器上開放 8900 端口所有到達(dá)該端口的請(qǐng)求轉(zhuǎn)發(fā)到本機(jī)的 8765 端口。-N只做端口轉(zhuǎn)發(fā)不執(zhí)行遠(yuǎn)程命令。中繼服務(wù)器的 SSH 配置里需要允許 GatewayPorts否則遠(yuǎn)程客戶端無法通過服務(wù)器公網(wǎng) IP 訪問監(jiān)聽的端口。隧道建立后遠(yuǎn)程 AI 客戶端的 MCP Server 地址可以配置成類似下面的格式{ mcpServers: { local-utils-remote: { url: http://203.0.113.10:8900/mcp } } }這里有兩個(gè)關(guān)鍵點(diǎn)。第一URL 中的路徑必須和 MCP Server 暴露的真實(shí)路徑一致不同 SDK 的默認(rèn)路徑存在差異以實(shí)際服務(wù)輸出為準(zhǔn)。第二SSH 隧道本身提供了鏈路加密但 MCP Server 如果沒有認(rèn)證任何人都可以調(diào)用你的工具。因此長期使用前至少要在接入層增加令牌認(rèn)證或者用防火墻限制來源 IP。SSH 隧道方案的優(yōu)勢是零額外依賴、免費(fèi)、穩(wěn)定缺點(diǎn)是配置比較原始。連接斷開后不會(huì)自動(dòng)重連多個(gè) MCP Server 需要多條隧道管理成本會(huì)上升。如果只是驗(yàn)證概念這個(gè)方案足夠用如果要長期跑在團(tuán)隊(duì)協(xié)作環(huán)境里可以考慮下一節(jié)的內(nèi)網(wǎng)穿透方案。7. 通用方案二內(nèi)網(wǎng)穿透工具的工程化落地把本地 MCP Server 暴露到公網(wǎng)如果不想維護(hù)自己的公網(wǎng)服務(wù)器可以先用 cloudflared 的 Quick Tunnel。它只需要一行命令就能把本地端口映射成一個(gè)臨時(shí)的公網(wǎng) HTTPS 地址。cloudflared tunnel --url http://localhost:8765啟動(dòng)后終端會(huì)輸出一個(gè)https://xxx.trycloudflare.com形式的地址。這個(gè)地址自帶 HTTPS不需要額外域名把遠(yuǎn)程 AI 客戶端的 MCP Server 地址配置成這個(gè) HTTPS 地址即可。它的最大優(yōu)點(diǎn)是零配置、上手快缺點(diǎn)是臨時(shí)隧道地址不穩(wěn)定重啟后地址會(huì)變化不適合長期生產(chǎn)使用。如果需要固定地址和更細(xì)粒度的訪問控制可以考慮自建 frp 方案。frp 分為服務(wù)端和客戶端兩個(gè)部分服務(wù)端 frps 運(yùn)行在有公網(wǎng) IP 的機(jī)器上客戶端 frpc 運(yùn)行在本地機(jī)器上兩者通過配置的 token 做認(rèn)證。服務(wù)端配置示例# 文件路徑frps.toml bindPort 7000 auth.token 請(qǐng)換成你自己的強(qiáng)密碼客戶端配置示例# 文件路徑frpc.toml serverAddr 203.0.113.10 serverPort 7000 auth.token 請(qǐng)換成你自己的強(qiáng)密碼 [[proxies]] name mcp-local-utils type tcp localIP 127.0.0.1 localPort 8765 remotePort 8900啟動(dòng)命令./frps -c frps.toml ./frpc -c frpc.tomlfrp 的方案自托管、控制力強(qiáng)能支持 TCP、HTTP 等多種協(xié)議適合長期運(yùn)行。但也要注意它的安全性完全取決于你的配置token 強(qiáng)度、服務(wù)端防火墻、端口暴露范圍都直接影響風(fēng)險(xiǎn)等級(jí)。建議服務(wù)端只對(duì)必要的來源 IP 開放并定期更換認(rèn)證 token。不管是 SSH 隧道還是 frp本質(zhì)上都只是在傳輸層打通了網(wǎng)絡(luò)。真正讓遠(yuǎn)程 AI 客戶端能識(shí)別并調(diào)用 MCP 工具前提是 MCP Server 的傳輸方式與遠(yuǎn)程客戶端兼容。如果本地 MCP Server 只支持 stdio無論隧道建得多好遠(yuǎn)程客戶端也接不上。所以遠(yuǎn)程可訪問的 MCP Server 必須使用 HTTP 類傳輸這句話值得在接入前反復(fù)確認(rèn)。8. 安全邊界暴露本地 MCP 前必須守住的紅線把本地 MCP Server 暴露給遠(yuǎn)程 AI 客戶端這件事本身就伴隨風(fēng)險(xiǎn)。和普通 HTTP 接口不同MCP Server 暴露的是工具調(diào)用能力調(diào)用結(jié)果可能直接影響本地系統(tǒng)。一個(gè)只讀的文件查詢工具和一個(gè)可以執(zhí)行任意命令的工具風(fēng)險(xiǎn)等級(jí)完全不是一回事。首先是最小權(quán)限原則。MCP Server 里的每個(gè)工具都應(yīng)該盡量只做一件事只能訪問它必需的數(shù)據(jù)范圍。比如數(shù)據(jù)庫工具只暴露只讀查詢不要暴露刪除和更新文件操作工具限制可訪問的目錄不要讓 Agent 擁有遍歷整個(gè)文件系統(tǒng)的能力。工具內(nèi)部也應(yīng)該有路徑校驗(yàn)防止通過../之類的穿越手段訪問白名單之外的目錄。其次是認(rèn)證與授權(quán)隔離。凡是能遠(yuǎn)程訪問的 MCP Server接入層必須做認(rèn)證。最簡單的做法是在網(wǎng)關(guān)層配置一個(gè)靜態(tài)令牌遠(yuǎn)程客戶端每次請(qǐng)求都攜帶該令牌。更嚴(yán)格的做法是為不同客戶端分配獨(dú)立憑據(jù)同時(shí)記錄每個(gè)憑據(jù)的調(diào)用記錄。這樣即使某個(gè)憑據(jù)泄露也能快速定位并單獨(dú)撤銷。然后是審計(jì)日志。MCP Server 每次收到工具調(diào)用都應(yīng)該記錄調(diào)用時(shí)間、來源、參數(shù)和返回結(jié)果摘要。審計(jì)日志不是為了當(dāng)時(shí)解決問題而是為了將來出問題時(shí)能最快還原現(xiàn)場。這個(gè)機(jī)制的成本很低收益卻非常大尤其是當(dāng)多個(gè)遠(yuǎn)程客戶端共享同一個(gè) MCP Server 時(shí)。鏈路加密同樣不能省略。SSH 隧道和 cloudflared 默認(rèn)自帶加密自建 frp 時(shí)要確認(rèn)傳輸層是加密的。MCP 請(qǐng)求參數(shù)中可能攜帶敏感信息比如數(shù)據(jù)庫查詢條件、文件路徑、內(nèi)部報(bào)錯(cuò)內(nèi)容明文傳輸?shù)焦W(wǎng)上是不可接受的。最后有些 MCP Server 根本不適合暴露到遠(yuǎn)程。直接控制鼠標(biāo)鍵盤、直接操作瀏覽器登錄態(tài)、直接持有云平臺(tái)密鑰的工具建議只保留在本地交互場景使用。這類工具一旦被遠(yuǎn)程濫用影響范圍遠(yuǎn)超數(shù)據(jù)泄露可能是對(duì)本地系統(tǒng)的直接控制。Forth MCP 這類工具如果實(shí)現(xiàn)得好應(yīng)該把一部分安全能力做成內(nèi)置功能上層認(rèn)證、可暴露的 Server 清單管理、調(diào)用日志等。這其實(shí)是它相對(duì)通用內(nèi)網(wǎng)穿透工具更有價(jià)值的地方通用隧道只解決網(wǎng)絡(luò)能通而 MCP 專用通道還要解決調(diào)用是否安全可控。9. 常見