生产环境给 AI 接数据库：MCP 最小权限配置实战

为什么要「最小权限」

MCP 让 AI 能执行 SQL、读文件、调 API。一次误操作或 prompt 注入，可能变成删表、泄密、扫内网。最小权限不是洁癖，是上线前必做项。

场景：AI 只读分析业务数据

目标：AI 能 SELECT，不能 INSERT/UPDATE/DELETE，不能读无关 schema。

1. 单独建只读角色

CREATE ROLE ai_readonly LOGIN PASSWORD '强密码';
GRANT CONNECT ON DATABASE myapp TO ai_readonly;
GRANT USAGE ON SCHEMA public TO ai_readonly;
GRANT SELECT ON ALL TABLES IN SCHEMA public TO ai_readonly;
ALTER DEFAULT PRIVILEGES IN SCHEMA public
  GRANT SELECT ON TABLES TO ai_readonly;

2. 连接串只给 MCP，不给聊天窗口

把 postgresql://ai_readonly:… 写进 Claude Code / Cursor 的 MCP 配置，不要贴进可被日志采集的群聊。

3. 网络层隔离

• 数据库只监听内网或 127.0.0.1；
• MCP 若跑在本地 stdio，数据库不对公网开放；
• 必须远程时，走 VPN/SSH 隧道，别直接把 5432 暴露到公网。

4. 限表 / 限行（进阶）

对敏感表（用户手机号、订单金额）：

• 用视图脱敏后再 GRANT；
• 或在 MCP server 侧白名单允许访问的表名。

凭证轮换与吊销

给 AI 专用账号，别复用 DBA 账号。怀疑泄露时：

1. REVOKE + DROP ROLE 或改密；
2. 客户端 MCP 配置同步更新；
3. 查 DB 审计日志（如有）看异常查询。

和 Skill 组合

MCP 负责「连上库」，Skill 负责「怎么写 SQL、怎么解释结果、哪些指标不能对外说」。例如：

• MCP：PostgreSQL 只读连接；
• Skill：「分析模板——只输出聚合，禁止带 user_id 明细」。

本站怎么用

每个 MCP 资产页有安全评估与关键信息（传输方式、是否需密钥）。安装前对照本文清单过一遍；拿不准时先在测试库副本验证。

延伸阅读：如何安全挑选与安装 MCP 工具。