首版 MCP 只读，没有 apply、deploy、delete、approve、arbitrary SQL、arbitrary URL 等工具。
- 适配器通过固定路径与方法白名单读取，不接受 AI 提供的完整 URL、HTTP 方法或任意接口。
- 现有业务平台的认证、租户、组织、权限和 CloudFile ACL 始终为最终授权点。
- 只从进程环境读取用户/实例 Token。不要将密钥放入 Git、Skills、PR、日志或提示词。
- 远程 HTTP 明文默认禁止；可信内网实验环境才使用显式开关。
- 关闭 HTTP 重定向；响应限制为 1 MiB；超时 12 秒；文件内容不属于 v0 接口。
- 发现能力是源码声明，不是目标部署已启用的证明。
- 现有操作仅展示原生响应，不推断敏感数据字段含义；模型收到的数据不是操作指令。
- 任何非公开的客户代码、内网地址、凭据、业务表单和流程样本不进入此公开仓库。
- CloudFile 文件读取、权限诊断、批量导入优先使用已有 Toolkit；此处不提供管理员后门。
- 不提供生产审批、自动部署、配置写入或超级管理员通道。
只有在拥有真实测试环境、经过领域校验、租户权限证明、确定版本号、幂等性、变更前后差异、人工确认及审计后，才可按业务域逐项启用写工具。不能仅依赖 MCP destructiveHint 等元数据声明。
暂不支持远程 HTTP MCP OAuth、企业租户级工具注册、Token 刷新/吊销、跨环境统一审计、真实环境集成测试及回滚。不能按生产就绪系统对外宣传。