MCP

MCP Starter Kit 上手指南：把你的后端 API 安全桥接给 AI 代理

MCP Starter Kit 最适合为已有后端 API 的开发者快速搭出可被 Claude 或 ChatGPT 调用的安全 MCP 服务器，但上手前必须具备 TLS 托管条件并自行填写 .env 与实现工具。

官方来源 · GitHub - fdhhhdjd/MCP-STARTER-KIT: Build a secure, production-ready MCP server for any project

安装

npm install && npm run build

MCP Starter Kit 是一个项目无关的脚手架，用于为任意项目搭建一个安全的、可上线的 MCP（Model Context Protocol）服务器：每个工具映射到一个后端端点，用 API key + scopes 做认证，把 AI 代理（Claude Desktop/Web、ChatGPT 或自建代理）桥接到你的后端 API。如果你只是想试用现成工具，它不合适；它要求你有后端 API、能托管服务并接受构建部署流程。

适合谁

  • 想让自己的后端 API 被 Claude、ChatGPT 等代理安全调用的开发者。
  • 需要每个端点对应一个工具、并用 API key + scopes 控制权限的团队；默认只读，除非显式添加写权限 scope。
  • 需要在线（Streamable HTTP，多客户端）与 Claude Desktop（stdio）两种接入方式，或无状态 OAuth 2.0（PKCE S256）与 header API key 两种认证的场景。
  • 不适合：没有后端 API、没有 TLS 托管条件、或不想做任何代码与配置改动的用户。官方未说明托管成本、运行环境要求的细节，这些未知需自行确认。

3 分钟完成第一次尝试

首次尝试建议从脚手架本身构建并连通入手（真正的端点调用发生在你配置工具之后）：

  1. 前提：已安装 Node/npm；准备一个 TLS 可用的域名（服务需托管在 TLS 后，路径为 /mcp）。
  2. 按 README 的模板路径：进入 templates/，把 gitignore 重命名为 .gitignore，将 __PROJECT__ 替换为你的项目名，填写 .env，并在 src/server.ts 中添加你的工具。
  3. 运行官方给出的构建命令：
npm install && npm run build
  1. 托管在 TLS 后（路径 /mcp），然后用 mcp-remote 从 Claude Desktop 连接并验证一次（连接初始化为低风险动作，key 会在 initialize 时向后端校验）：
npx -y mcp-remote https://<domain>/mcp --header "Authorization: Bearer <key>"

成功信号：客户端完成 initialize 且后端 key 校验通过（官方明确这会在初始化时阻断未认证请求）。Claude Web 则使用自定义连接器，URL 为 /mcp、header 为 x-api-key。注意：以上命令中的 <domain>、<key> 是你需要替换的真实值；在 .env 填入密钥属于本地状态写入，不是只读操作。

使用案例

  1. 用 Claude Desktop 调用你的后端只读端点：按上面主路径完成构建与 TLS 托管后，在 Claude Desktop 通过 mcp-remote 以 Bearer key 连接 /mcp。由于默认只读，除非你显式添加写 scope，调用不会触发后端写操作——这是官方声明的行为，但不等于零风险；密钥仍会向后端校验并经 mcp-remote 传递。
  2. 用 Claude Web 自定义连接器接入同一服务：在 Claude Web 中配置自定义连接器，使用 URL /mcp 并带 x-api-key header。可确认到连接建立这一步；具体某个工具的输出格式取决于你在 src/server.ts 中如何实现该工具，官方证据未给出具体工具示例，无法进一步预测。

使用边界

  • 读写性质：模板默认只读，写能力需要显式添加 scope；写操作属于远端写，执行前应确认副作用。
  • 凭证：使用 API key（或可选的无状态 OAuth 2.0 PKCE S256）认证；.env 中需填写配置，属于本地敏感状态。
  • 日志：审计日志输出到 stderr，stdout 保留给 JSON-RPC，调试时注意通道区别。
  • 安全机制边界：key 在 initialize 时校验以阻断未认证滥用；只读默认与 initialize 校验说明的是不执行写操作、校验密钥，不代表不会联网或没有其他隐私边界。
  • 未确认信息：官方证据未说明各客户端的详细配置文件格式、托管平台要求、以及具体端点/工具的实现示例；这些在首次使用前需要自行查阅仓库并确认。