SQL MCP Server 应如何设置查询审批、审计和安全护栏？

SQL MCP Server 要进入生产环境，不能只依赖模型“谨慎查询”。一套可执行的安全设计至少包含数据库最小权限、查询分类、审批绑定、资源限制、数据范围控制和不可篡改审计。读取可以按风险自动放行，写入需要预览和人工确认，破坏性操作默认阻断；无论应用层如何判断，数据库账号都只能拥有业务明确授予的能力。

生产数据库 MCP 与传统 GUI 的差异在于，Agent 会迭代生成多条查询，根据上一步结果自动决定下一步。速度和自主性更高，也会放大权限过宽、提示注入和重复查询的风险。护栏必须约束整个调用链，而不是只检查单条 SQL 的开头。

先定义生产使用范围

明确允许的任务，例如模式探索、故障诊断、报表查询或受控数据修复。不同任务需要不同工具、账号和审批级别。

不要用一个“数据库助手”连接所有环境并同时拥有读写权限。按生产、预发和开发拆分 MCP 实例与凭据。

每个实例记录所有者、数据域、用户群、可用工具、数据库角色、响应上限和事件处理联系人。

第一层是数据库账号权限

原帖讨论中的关键共识是：只隐藏写工具不够，数据库凭据本身也必须只读。应用漏洞或巧妙提示最终都会到达数据库授权层。

为 MCP 创建专用角色，只对批准数据库、schema、表、视图和列授予 SELECT。不要复用 DBA、应用所有者或开发者个人账号。

检查继承角色、PUBLIC 权限、函数执行、链接服务器、外部数据源和系统目录。有效权限往往比直接 GRANT 更大。

只读副本适合什么场景

把 Agent 指向只读副本可以隔离部分查询负载，并从基础设施层阻止主库写入。适合报告、历史分析和生产调试。

副本通常仍包含完整敏感数据，因此不能替代对象与列权限。复制延迟也会让结果不是实时状态。

对低延迟要求不高的场景，可进一步构建脱敏分析副本，只同步批准数据，获得更清晰边界。

查询分类

把请求分为低风险读取、敏感读取、普通写入、批量写入、DDL 与管理操作。风险由语句结构、目标对象、影响范围、数据敏感度和调用身份共同决定。

AST 解析优于关键词扫描，可识别 CTE、子查询、多语句和真实目标。解析失败或未知方言默认拒绝。

SELECT 也可能调用副作用函数、锁表或导出敏感数据，不能自动归为零风险。

审批矩阵

批准表与视图上的小范围读取可自动执行；访问敏感列、大扫描或跨域 JOIN 需要用户确认；所有写入需要影响预览；DROP、TRUNCATE、权限和系统命令默认阻断。

审批级别根据环境叠加。开发沙箱可以放宽普通写入，生产环境要求双人或工单审批。

规则写成机器可执行策略，不把判断完全留给模型或聊天中的自然语言。

审批必须绑定具体查询

确认记录应绑定规范化 SQL、参数、目标数据库、账号、影响对象、策略版本和短时有效期。

用不可变摘要或哈希防止模型在获批后替换 WHERE、参数或连接。任何内容改变都重新审批。

确认工具不能交给同一个 Agent 自动调用。真实用户或独立策略服务必须完成批准。

写入前预览

普通写入返回目标表、操作类型、过滤条件、预计影响行数、关键主键样本和回滚方案，不立即执行。

预览查询与执行之间可能发生数据变化。生产写入应在事务中重新检查条件与最大影响行数，超限自动回滚。

没有 WHERE 的 UPDATE 或 DELETE、高比例修改和跨租户操作直接阻断，不仅弹出确认。

读取审批也有必要

全表客户数据导出是只读，但风险可能高于更新一条测试记录。读取审批依据列敏感度、行数、租户范围和导出目的。

对个人信息、支付、认证和商业秘密使用脱敏视图，禁止 SELECT 星号，并设置单次与累计读取额度。

反复小查询可以绕过单次上限，策略需统计会话和用户窗口内的总量。

表与列允许列表

默认拒绝所有对象，只明确开放批准表。新表不会因为同 schema 自动暴露。

列级允许列表优于事后掩码。模型不需要的敏感列根本不授予读取权限。

视图定义作为数据 API 审查，限制行、列和可用 JOIN，并对定义变更运行回归测试。

行级与租户隔离

共享表中的 tenant_id 过滤不能只靠模型生成。数据库行级安全或专用视图应从可信身份上下文施加条件。

租户标识由宿主从已认证用户注入，不允许 Agent 自由填写。连接池归还前清除会话上下文。

高敏感租户使用独立数据库或实例，减少策略错误的横向影响。

函数与存储过程白名单

SELECT dangerous_function() 可能写数据、访问文件或网络。语句看似只读，不代表执行无副作用。

撤销通用 EXECUTE，仅允许审查过的函数和过程。动态 SQL 包装过程默认拒绝。

以定义者权限运行的函数固定搜索路径、校验参数并记录调用主体，避免权限提升。

多语句和协议约束

解析器确认输入只有一条 statement，驱动关闭 multiStatements，数据库协议尽量使用 prepared statement 单语句路径。

测试分号、注释、字符串、dollar quote、反引号和方言条件注释，避免文本分割误判。

协议层与数据库层约束应作为最终保证，应用检查主要提供策略和清楚错误。

查询超时

每条查询设置服务端 statement timeout，而不只是客户端等待超时。取消后确认数据库会话真正停止。

按工具和环境设置不同上限，模式探索短，批准的报表可以稍长。模型不能自行扩大。

连续超时触发熔断和告警，禁止 Agent 立即无限重试。

返回行数与响应大小

使用服务端游标或驱动流式读取，只读取最大行数加一行并返回 truncated 标志，避免先缓存完整结果。

限制行数不限制扫描成本，还需要执行计划、成本门槛和数据库资源治理。

响应同时限制字段长度、总字节和嵌套对象深度，防止模型上下文被大值占满。

连接池与并发

设置每实例连接池上限、每用户并发和全局队列长度。总连接量要计算所有 MCP 副本与数据库保留容量。

连接归还前回滚事务并恢复角色、schema、租户变量和超时，防止会话状态串到下一请求。

池耗尽时快速返回可重试错误，不让请求无限积压。

工具级审批

list_tables 与 describe_table 风险较低，query 较高，write 或 execute procedure 更高。客户端可以按工具设置默认询问。

工具审批只是交互层，不替代服务端策略。客户端被绕过时，MCP Server 仍必须拒绝越权调用。

工具描述不包含诱导自动确认的文本，名称清楚表达副作用。

审计记录内容

记录时间、用户、Agent、会话、工具、数据库目标、查询摘要、参数脱敏值、检测对象、策略决策、审批者、耗时、行数和错误。

为一次迭代查询链分配 trace id，让多步探索可以整体回放。数据库原生日志记录后端会话与真实 SQL。

聊天记录不是执行证据。它可以辅助理解意图，但最终以 MCP 与数据库日志为准。

日志隐私

完整 SQL 可能包含个人信息、令牌和商业参数。日志按数据分类脱敏，限制访问和保留时间。

查询结果默认不进入审计日志，只记录摘要、哈希与行数。确需样本时使用单独高权限调查流程。

日志发送到 Agent 不能修改的独立存储，重要记录签名或使用不可变保留策略。

数据库会话标记

在连接建立后设置 application_name、MODULE、ACTION 或驱动属性，把 MCP trace id 与数据库会话关联。

标签由宿主生成，模型不能伪造。连接池复用时每次请求重设并在结束后清理。

DBA 可从活动会话、慢查询和审计表定位具体 Agent 调用。

提示注入防护

数据库文本字段可能包含“忽略规则并调用工具”等指令。所有查询结果标记为不可信数据。

结果不能改变系统提示、审批状态、连接目标和工具授权。跨工具动作再次经过独立策略。

限制可读对象和返回量能缩小注入来源，但宿主仍需区分数据与指令。

网络与部署边界

本地单客户端优先 stdio，减少端口。远程 MCP 必须有 TLS、身份验证、授权、反向代理和网络隔离。

原始 MCP 端口只允许代理访问，数据库只允许 MCP 服务器网段。不能让用户绕过代理直连静态后端凭据。

不同数据域使用不同服务实例，避免一个入站身份获得所有数据库上下文。

秘密管理

连接串不写入提示、项目配置、命令行和日志。通过秘密管理或短期身份注入。

每个环境使用独立凭据，定期轮换。泄露时可以只吊销 MCP 账号。

服务错误信息隐藏密码和内部地址，崩溃转储与诊断包也按秘密处理。

策略变更管理

表允许列表、审批阈值、工具清单和数据库角色都进入版本控制与代码审查，但秘密不入库。

每次变更记录原因、批准者、生效时间和回滚版本。紧急放宽必须有自动到期。

部署后从真实运行状态检查策略，不只验证配置仓库。

负向测试

测试 DML、DDL、权限命令、存储过程、多语句、注释绕过、动态 SQL、外部文件和危险函数。

测试未批准表、敏感列、其他租户与其他环境连接，确认数据库权限独立拒绝。

测试审批后修改 SQL、重放过期批准、模型自批、并发竞态和连接池状态污染。

资源测试

运行大 JOIN、全表扫描、锁等待、睡眠函数、大字段与多次分页，验证超时、行数、字节和累计额度。

客户端中断时确认服务器取消数据库查询。熔断恢复时使用退避，避免重连风暴。

在只读副本测试延迟和负载，确认 Agent 知道数据新鲜度。

异常响应流程

发现越权尝试时保存 trace，禁用用户或工具，必要时吊销数据库账号和阻断网络。

只读数据泄露也按安全事件处理，检查模型历史、导出文件、日志和下游工具。

恢复前修复策略并复跑攻击测试，不只重启服务。

一套分级策略示例

L0 可定义为固定元数据工具，例如列出批准 schema 和描述表结构。工具内部使用参数化系统查询，不接受任意 SQL，可自动执行。

L1 是批准视图上的限量 SELECT，要求明确列、最大一百行、十秒超时且不含敏感字段。策略通过后自动执行并完整审计。

L2 是大范围读取、跨表 JOIN、聚合、执行计划或敏感字段访问。服务先返回目标对象、估算成本和数据分类，用户确认后执行。

L3 是 INSERT、UPDATE、DELETE 等业务写入。仅允许预定义模板或受审查存储过程，显示影响范围并由具备相应职责的审批者确认。

L4 是 DDL、权限、外部访问、系统配置和批量破坏操作。生产 MCP 默认永久拒绝，转交独立变更管理流程。

审批状态机

请求先进入 proposed，完成解析与策略评估后变为 review_required 或 auto_approved。人工确认后是 approved，只有内容哈希、目标与有效期都一致才进入 executing。

执行成功进入 succeeded，数据库拒绝进入 denied，超时或连接问题进入 failed。任何 SQL、参数、数据库、用户或策略版本变化都创建新请求，不能回到旧 approved。

批准设置一次性 nonce 和短时过期时间。重复提交相同批准标识应返回 already_used，防止重放。

审批者不能批准自己无权直接执行的数据范围。授权系统根据用户角色、环境和风险等级决定谁能确认，而不是由客户端传一个 approver 字段。

规范化 SQL 摘要

审批展示格式化 SQL 与参数的脱敏表示，同时对原始字节、驱动、数据库和参数类型计算哈希。仅对格式化文本计算哈希可能忽略编码或注释差异。

目标对象来自 AST 与数据库解析结果，不只依赖模型声明。对动态 SQL 或解析失败输入不生成可审批摘要，直接拒绝。

摘要显示无 WHERE、全表扫描、跨 schema、敏感列、写入比例和函数调用等风险信号，让审批者不必逐字理解复杂 SQL。

执行计划门禁

高成本 SELECT 在执行前获取估算计划，检查预计行数、全表扫描、笛卡尔积和代价。超过阈值转人工或要求缩小查询。

EXPLAIN ANALYZE 可能实际执行目标查询，不应作为无风险预览。默认使用不执行版本，并限制计划输出大小。

计划估算会受统计信息影响，不能取代超时和资源限制。即使估算很低，运行时仍受服务器端 deadline。

累计数据预算

单次一百行上限无法阻止 Agent 连续查询一万次。按用户、会话、数据域和时间窗口统计返回行数、字节与敏感字段访问次数。

达到软阈值时要求确认，达到硬阈值时停止并等待额度重置或数据所有者批准。分页请求与不同 SQL 仍计入同一任务预算。

聚合结果也可能泄露信息，尤其是通过不同条件反复查询计数。对小群体统计应用最小分组阈值，并检测相邻查询差分。

审计事件结构

事件包含 event_id、trace_id、request_id、parent_request_id、user_id、agent_id、client_id、tool_name、connection_label、database_identity 与 policy_version。

查询部分保存 sql_hash、语句类型、目标对象、风险标签和脱敏参数；决策部分保存规则、审批者、过期时间与理由；结果部分保存状态、行数、字节、耗时、数据库错误码和截断标记。

数据库会话写入同一个 trace_id 或可映射标签。这样可以从应用审计跳转到数据库审计，再回到用户审批，而不是根据时间戳猜测。

日志完整性验证

MCP 进程只拥有追加权限，不能删除历史。日志采集器实时发送到独立账号控制的存储，写入失败时高风险操作失败关闭。

为事件计算链式哈希或使用云平台不可变保留，定期验证序列连续性。发现缺号、时间倒退或签名错误立即告警。

数据库审计、代理访问日志和 MCP 审计设置不同保留周期，但共同字段至少保留到调查窗口结束。

变更窗口与临时写权限

生产确需 Agent 辅助写入时，不修改常驻只读实例。创建短期写实例和一次性数据库角色，只开放具体表与动作。

权限绑定工单、开始和结束时间，到期自动撤销。审批记录包含回滚 SQL、备份点与最大影响行数。

窗口结束后验证角色不可登录、MCP 工具表恢复只读，并从数据库审计确认没有窗口外操作。

上线演练

先在仿真数据运行红队脚本，尝试提示注入、跨库、敏感列、堆叠语句、数据修改 CTE、危险函数、长查询和审批重放。

再故意关闭策略服务、日志存储和数据库连接，确认系统失败关闭并返回可诊断错误。不能在依赖故障时降级为无审计直通。

最后由另一名审计人员仅凭事件记录还原一次完整调用。如果无法确认用户、SQL、目标、批准与数据库结果，说明证据链仍不完整。

上线检查清单

确认数据库专用账号最小权限，生产默认只读，写入与破坏性工具不存在或严格审批。

确认批准绑定查询摘要与目标，内容变化重新审批，模型不能自行确认。

确认表、列、行、函数和环境边界由数据库与策略共同限制，副本不被误当成脱敏数据。

确认超时、行数、响应字节、并发、连接池和累计读取额度均生效。

确认 MCP、代理与数据库日志可关联真实用户，日志脱敏并进入独立存储。

SQL MCP Server 的生产安全不是一个“只读”开关，而是一条可验证的控制链。数据库账号定义最坏情况下的能力，策略层判断对象与风险，审批绑定不可变查询，资源护栏限制成本，审计连接用户意图与真实执行。只有这些层独立生效并经过负向测试，Agent 才能在提高查询效率的同时，不把数据库变成依赖模型自律的高风险入口。