MCP 网关

​

MCP 网关的作用

• 一个端点，一个密钥。 客户端使用 GoModel API 密钥连接到 https://your-gateway/mcp。客户端从不持有上游 MCP 凭据；网关会自行注入每个服务器的请求头。
• 带命名空间的聚合。 所有已配置服务器的工具和提示词会以 {slug}_{name} 的形式（例如 github_create_issue）出现在同一个目录中，顺序稳定且确定。
• 最小权限发现。 可以将服务器的可见范围限定到 user_paths，并通过 disallowed_user_paths 排除部分调用方；被隐藏的调用方不只是收到错误，这些工具根本不会出现在它们的 tools/list 中。运维人员级别的 allowed_tools / disallowed_tools 过滤器可以精简工具繁杂的服务器，从而保持智能体上下文精简。
• 可观测性。 每次工具调用都会成为一条用量条目（服务器、工具、耗时、大小、错误标志、标签、用户路径），MCP 请求也会像其他模型流量一样出现在审计日志和请求日志中，并标注 JSON-RPC 方法；对于调用，还会标注工具或提示词名称，因此 tools/call 这一行显示的是 github_create_issue，而不是一个单纯的路径。设置 LOGGING_LOG_BODIES=true 时，JSON-RPC 请求帧和响应帧也会记录在审计条目中（包括工具参数和结果），并与其他端点一样受 1 MB 捕获上限的限制。用户路径的速率限制和预算同样会管控 MCP 请求。

​

连接客户端

{
  "mcpServers": {
    "gomodel": {
      "type": "http",
      "url": "https://your-gateway/mcp",
      "headers": {
        "Authorization": "Bearer sk-your-gomodel-key"
      }
    }
  }
}

• /mcp：该密钥的用户路径可见的所有内容，带命名空间。
• /mcp/{slug}：单个服务器，使用其原始工具名称。
• /mcp/{name}：一个虚拟服务器，即一组具名的服务器子集，带命名空间。
• X-MCP-Servers: github,jira 请求头：在 /mcp 上指定一个以逗号分隔的子集。

​

将服务器分组为虚拟服务器

mcp:
  virtual_servers:
    coding:
      description: Code review tools
      servers: [github, linear, sentry]
      tool_discovery: search # 可选；默认值：mcp.tool_discovery

• 它只会缩小范围。 每个成员都保留其 user_paths 和工具过滤器，因此无法看到 github 的密钥，通过 coding 也同样看不到它。X-MCP-Servers 可以进一步缩小虚拟服务器的范围。
• 名称与服务器 slug 共用 /mcp/{name}。 如果配置中的某个虚拟服务器与配置中的某个服务器同名，启动会失败；控制台也会拒绝名称已被对方使用的新服务器或新虚拟服务器。如果服务器和虚拟服务器最终仍然同名（例如在控制台条目之后添加了配置），则服务器保留该 URL，虚拟服务器不会提供服务；日志和控制台中会对此进行说明。
• 配置条目优先。 在配置中声明的虚拟服务器会隐藏控制台中的同名虚拟服务器，并且在控制台中为只读。
• 缺失的成员会被跳过。 控制台只提供已存在的服务器供选择，但之后被删除的成员，或在配置中引用但尚不存在的成员，会被跳过并记录警告，同时在 MCP Servers 页面上标记出来。

​

搜索工具而不是列出工具

• search_tools 接受关键字（或确切的工具名称），返回匹配的工具及其描述和输入 schema。
• call_tool 通过 name 和 arguments 运行找到的工具。

mcp:
  tool_discovery: search # 环境变量：MCP_TOOL_DISCOVERY；默认值：off

{
  "mcpServers": {
    "gomodel": {
      "type": "http",
      "url": "https://your-gateway/mcp",
      "headers": {
        "Authorization": "Bearer sk-your-gomodel-key",
        "X-MCP-Tool-Discovery": "search"
      }
    }
  }
}

​

声明服务器

​

从控制台添加服务器

• Name：面向用户的名称，之后可以重命名。
• Transport：http（Streamable HTTP，默认）或 sse（旧版）。
• URL：上游 MCP 端点。
• Headers：上游凭据（例如 Authorization: Bearer …）；保存后的值会以脱敏形式显示。
• Tools：勾选客户端可以使用的工具；参阅选择每个服务器公开哪些工具。
• 可选：Advanced 下的 user paths 和 excluded user paths；参阅限制谁可以看到服务器。

• Name 面向用户，支持 Unicode，之后可以编辑。
• Slug 默认由名称派生。它使用小写 ASCII 字母、数字、连字符和下划线，可以在创建服务器时调整。创建后不可更改，因为它用于 /mcp/{slug}、X-MCP-Servers 和聚合后的工具名称。

mcp:
  enabled: true # 默认值；MCP_ENABLED=false 会禁用这些端点
  servers:
    github:
      url: https://api.githubcopilot.com/mcp
      headers:
        Authorization: "Bearer ${GITHUB_PAT}"
      user_paths: ["/engineering"] # 可选的可见范围
      disallowed_user_paths: ["/engineering/contractors"] # 排除项；优先于 user_paths
      disallowed_tools: ["delete_repo"]
    local-files:
      transport: stdio # 仅支持声明式；参阅安全说明
      command: npx
      args: ["-y", "@modelcontextprotocol/server-filesystem", "/data"]

MCP_SERVERS='{"github":{"url":"https://api.githubcopilot.com/mcp","headers":{"Authorization":"Bearer ${GITHUB_PAT}"}}}'

​

使用 Docker 运行 stdio 服务器

services:
  mcp-files:
    image: supercorp/supergateway
    command:
      - --stdio
      - npx -y @modelcontextprotocol/server-filesystem /data
      - --outputTransport
      - streamableHttp
      - --port
      - "8000"
    volumes:
      - ./files:/data

  gomodel:
    image: enterpilot/gomodel
    ports: ["8080:8080"]
    environment:
      GOMODEL_MASTER_KEY: change-me
      MCP_SERVERS: '{"files":{"url":"http://mcp-files:8000/mcp"}}'
    depends_on: [mcp-files]

FROM node:22-slim
COPY --from=enterpilot/gomodel /gomodel /gomodel
COPY --from=enterpilot/gomodel /app /app
RUN chown -R node:node /app
USER node
WORKDIR /app
EXPOSE 8080
ENTRYPOINT ["/gomodel"]

​

健康状态与生命周期

​

选择每个服务器公开哪些工具

mcp:
  servers:
    github:
      url: https://api.githubcopilot.com/mcp
      disallowed_tools: ["delete_repository", "merge_pull_request"]

​

限制谁可以看到服务器

​

查看服务器的目录

​

安全说明

• 凭据边界。 MCP 规范禁止 Token 透传；GoModel 会终结客户端的 Bearer Token，并从配置中注入每个服务器的凭据。客户端密钥永远不会到达上游，并且所配置的上游请求头不会在跨源重定向时被发送。
• 默认拒绝浏览器来源。 MCP 客户端不是网页，因此 /mcp 会拒绝任何携带浏览器 fetch 元数据（Origin 或 Sec-Fetch-Site）的请求，除非它来自 mcp.allowed_origins（MCP_ALLOWED_ORIGINS）中列出的来源。请按浏览器序列化的格式填写条目，例如 https://console.example.com，不带末尾斜杠，默认端口可省略。允许列表中的来源可以使用完整会话，包括浏览器在发送时不带 Origin 请求头的 GET 通知流。这正是阻止基于浏览器的 DNS 重绑定攻击的机制：重绑定只会改变主机名解析到的地址，因此被重绑定页面的 Origin 和 Host 仍然彼此一致，浏览器也仍会报告 Sec-Fetch-Site: same-origin。比较它们无法证明任何事情，只有显式的允许列表才能区分您的来源和攻击者的来源。仅当您从已知来源提供 MCP Web 客户端时才设置 allowed_origins；"*" 会信任所有来源并禁用该防护，启动时会对此发出警告。
• stdio 仅支持声明式配置。 stdio 服务器会在网关主机上启动子进程，因此只能在 config.yaml / MCP_SERVERS 中声明。Admin API 和控制台会拒绝它们：控制台登录权限绝不能等同于在网关上执行代码的权限。
• stdio 子进程只获得最小化的环境。 只会继承 PATH、HOME、TMPDIR、USER 和 LANG，绝不会继承网关的提供商 API 密钥或主密钥。其他内容请通过服务器的 env: 映射显式传入（值支持 ${VAR}）。
• 控制台管理的凭据存储在网关数据库中。 通过管理接口创建的服务器，其请求头存储在所配置的存储后端中（仅在 API/UI 层脱敏）。如果您的威胁模型不允许数据库中存在 Secret，请改为在 config.yaml / MCP_SERVERS 中声明这些服务器：${ENV} 引用会将 Secret 保留在环境中，并且声明式服务器从不接触存储。
• 远程 URL 属于服务端出站流量。 控制台管理的 HTTP/SSE 服务器有意支持私有和回环端点。请保护管理写入权限，并执行部署的出站策略，以防不受信任的运维人员利用网关探测内部服务。
• 会话不等于认证。 每个请求都经过 Bearer 认证，并且会话还会额外绑定到初始化它的托管认证密钥身份、用户路径和固定端点；以其他身份出示泄露的会话 ID 会返回 404。
• Secret 请求头值在 Admin API 和控制台中以脱敏形式（***）显示；保存包含 *** 的表单会保留已存储的 Secret。

​

协议覆盖范围