MCP

MCP Starter Kit 上手指南：把你的後端 API 安全橋接給 AI 代理

MCP Starter Kit 最適合為已有後端 API 的開發者快速搭出可被 Claude 或 ChatGPT 呼叫的安全 MCP 伺服器，但上手前必須具備 TLS 託管條件並自行填寫 .env 與實作工具。

官方來源 · GitHub - fdhhhdjd/MCP-STARTER-KIT: Build a secure, production-ready MCP server for any project

安裝

npm install && npm run build

MCP Starter Kit 是一個與專案無關的腳手架，用於為任意專案搭建一個安全的、可上線的 MCP（Model Context Protocol）伺服器：每個工具對應一個後端端點，用 API key + scopes 做認證，把 AI 代理（Claude Desktop/Web、ChatGPT 或自建代理）橋接到你的後端 API。如果你只是想試用現成工具，它不適合；它要求你有後端 API、能託管服務並接受建置部署流程。

適合誰

  • 想讓自己的後端 API 被 Claude、ChatGPT 等代理安全呼叫的開發者。
  • 需要每個端點對應一個工具、並用 API key + scopes 控制權限的團隊；預設唯讀，除非明確加入寫入權限 scope。
  • 需要線上（Streamable HTTP，多用戶端）與 Claude Desktop（stdio）兩種接入方式，或無狀態 OAuth 2.0（PKCE S256）與 header API key 兩種認證的情境。
  • 不適合：沒有後端 API、沒有 TLS 託管條件、或不想做任何程式碼與設定修改的使用者。官方未說明託管成本、執行環境要求的細節，這些未知事項需自行確認。

3 分鐘完成第一次嘗試

首次嘗試建議從腳手架本身建置並連通入手（真正的端點呼叫發生在你設定工具之後）：

  1. 前提：已安裝 Node/npm；準備一個 TLS 可用的網域（服務需託管在 TLS 後，路徑為 /mcp）。
  2. 按 README 的模板路徑：進入 templates/，把 gitignore 重新命名為 .gitignore，將 __PROJECT__ 替換為你的專案名稱，填寫 .env，並在 src/server.ts 中加入你的工具。
  3. 執行官方給出的建置命令：
npm install && npm run build
  1. 託管在 TLS 後（路徑 /mcp），然後用 mcp-remote 從 Claude Desktop 連線並驗證一次（連線初始化為低風險動作，key 會在 initialize 時向後端驗證）：
npx -y mcp-remote https://<domain>/mcp --header "Authorization: Bearer <key>"

成功訊號：用戶端完成 initialize 且後端 key 驗證通過（官方明確這會在初始化時阻擋未認證的請求）。Claude Web 則使用自訂連接器，URL 為 /mcp、header 為 x-api-key。注意：以上命令中的 <domain>、<key> 是你需要替換的真實值；在 .env 填入金鑰屬於本地狀態寫入，不是唯讀操作。

使用案例

  1. 用 Claude Desktop 呼叫你的後端唯讀端點：按上面主路徑完成建置與 TLS 託管後，在 Claude Desktop 透過 mcp-remote 以 Bearer key 連線 /mcp。由於預設唯讀，除非你明確加入寫入 scope，呼叫不會觸發後端寫入操作——這是官方聲明的行為，但不等於零風險；金鑰仍會向後端驗證並經由 mcp-remote 傳遞。
  2. 用 Claude Web 自訂連接器接入同一服務：在 Claude Web 中設定自訂連接器，使用 URL /mcp 並帶 x-api-key header。可確認到連線建立這一步；具體某個工具的輸出格式取決於你在 src/server.ts 中如何實作該工具，官方證據未給出具體工具範例，無法進一步預測。

使用邊界

  • 讀寫性質：模板預設唯讀，寫入能力需要明確加入 scope；寫入操作屬於遠端寫入，執行前應確認副作用。
  • 憑證：使用 API key（或可選的無狀態 OAuth 2.0 PKCE S256）認證；.env 中需填寫設定，屬於本地敏感狀態。
  • 日誌：稽核日誌輸出到 stderr，stdout 保留給 JSON-RPC，除錯時注意通道差異。
  • 安全機制邊界：key 在 initialize 時驗證以阻擋未認證的濫用；唯讀預設與 initialize 驗證說明的是不執行寫入操作、驗證金鑰，不代表不會連線網路或沒有其他隱私邊界。
  • 未確認資訊：官方證據未說明各用戶端的詳細設定檔格式、託管平台要求、以及具體端點/工具的實作範例；這些在首次使用前需要自行查閱儲存庫並確認。