MCP请求头路由核验工作流

MCP请求头路由核验工作流

3个实用技能 · 3步完成 · 每一步都能单独使用

把 MCP 2026-07-28 请求的协议版本、Mcp-Method、Mcp-Name、JSON body 和网关允许路由整理成可复核的本地门禁：先规范请求合同，再审计请求序列是否保持同一路由，最后核对路由策略并交给人工确认。套餐只处理脱敏 JSON，不发送 HTTP 请求、不改网关、不读取凭据。

3个可下载技能 · 每个技能可单独运行

3步自动化工作流

🔵 1 MCP请求头合同整理

技能文件：mcp-header-contract-normalizer

解决什么： 检查协议版本、Mcp-Method、Mcp-Name、JSON-RPC method、工具名和 request id 是否能组成同一个路由合同。

你会得到： READY/REVIEW、route_key、缺口列表和 contract_hash。

↓ 本步结果自动进入下一步

🟢 2 MCP请求头路由审计

技能文件：mcp-header-route-auditor

解决什么： 检查多次请求的 route_key 是否漂移、request id 是否复用以及请求序列是否足够支持网关验收。

你会得到： PASS/HOLD、请求 ID 序列、问题清单和 route_hash；不会发出请求或重放调用。

↓ 本步结果自动进入下一步

🟠 3 MCP网关路由验收闸门

技能文件：mcp-header-gateway-acceptance-gate

解决什么： 将合同、路由审计与允许路由策略合并，区分“静态证据通过”和“网关配置已经生效”。

你会得到： READY_FOR_HUMAN_GATEWAY_REVIEW 或 HOLD、阻断原因、human_decision=PENDING、gateway_apply=false 和 external_action_executed=false，形成最终验收包。

↓ 本步结果形成最终交付

实际示例

脱敏样例使用 2026-07-28、tools/call、search 和两个不同 request id，header/body 路由键一致，策略允许 tools/call:search。第一步输出 READY，第二步输出 PASS，第三步输出 READY_FOR_HUMAN_GATEWAY_REVIEW。若 header 与 body 不一致、路由漂移、request id 复用或策略不允许，则输出 REVIEW/HOLD。该结果是本地测试情境，不代表真实网关已变更。

适合谁

• 维护 MCP Streamable HTTP 网关、WAF、API gateway 或多实例路由的开发团队

• 需要把协议升级后的请求头、工具名和路由策略纳入回归验收的 QA、SRE 和平台团队

• 交付 MCP 服务器迁移、网关授权或路由配置的实施人员

买家只需提供

• 脱敏的协议版本、请求头和 JSON-RPC body 摘要

• 需要验收的请求序列与 request id

• 组织批准的允许路由列表和人工验收边界

使用方式

1. 使用 Python 3.10 或更高版本，将请求合同、序列和策略写成 UTF-8 JSON；不要放入真实令牌、Cookie、客户内容或完整请求体。

2. 依次运行合同整理、路由审计和网关验收闸门，也可单独使用任一步。

3. 在隔离环境核对结果后，再由有权限的网关负责人决定是否应用真实配置。

交付与验收

• 交付三个独立技能目录，每个包含 _meta.json、SKILL.md、README.md、agents/openai.yaml、标准库脚本和脱敏样例。

• 正常样例可重复输出 READY、PASS 和 READY_FOR_HUMAN_GATEWAY_REVIEW；header/body 不一致、路由漂移、ID 复用或策略缺失时输出 REVIEW/HOLD。

• 文件级验收包含脚本可执行、JSON 可解析、稳定哈希和无网络动作字段；行为级验收包含允许与拒绝路由两条分支。

• 不包含 MCP 网关、WAF、HTTP 请求、账号、密钥、真实配置发布或人工代办。

服务说明

脚本只处理买家有权使用且已经脱敏的本地 JSON，不连接 MCP、网关或外部 API，不读取凭据，不修改路由。请求头核验不能证明真实负载均衡、授权或 WAF 已按预期运行，不能替代端到端测试和变更审批。MCP 规范、SDK 和网关实现会变化，正式使用前须由协议、平台和安全负责人复核。本资源不承诺绝对兼容、零错误、零中断或固定节省比例。