Codex接入MCP

一、MCP 是什么

MCP 是一套通用开放协议，作为 Codex 与外部程序、服务之间的桥梁。

• Codex 作为 MCP 客户端，对接各类 MCP‑Server 服务；
• 能力：访问数据库、GitHub、浏览器、Notion、接口服务、本地程序；
• 和 Skill、Plugin 的层级关系回顾：
  • Skill：纯提示词工作流，不调用外部程序；
  • MCP：真正外部工具调用底层协议；
  • Plugin 插件：打包单元，可以把 Skill、MCP 配置、钩子封装在一起分发。

核心区分：Skill 只能操作对话与本地项目文件；MCP 才可以访问项目以外的第三方软件 / 网络资源。

二、两种配置级别

1. 全局 MCP 配置 ：~/.codex/config.toml，本机全部项目生效；
2. 项目级 MCP 配置 ：项目目录下.codex/config.toml，仅当前项目生效，适合项目专属工具。

管理命令

• codex mcp add：命令行快速添加 MCP 服务；
• codex mcp list：查看已加载 MCP 服务器与可用工具；
• 斜杠指令 /mcp，会话内查看当前会话生效的 MCP 工具列表。

修改 MCP 配置之后，必须新开会话才生效，旧会话不会加载新服务。

三、典型使用场景

1. 对接 GitHub/GitLab：读取 PR、拉取 Issue、查看提交记录；
2. 对接数据库：查询表结构、执行查询（建议只读优先）；
3. 网页抓取、文档知识库读取（Notion/Confluence）；
4. 浏览器调试、API 接口调用；
5. 跨工具打通：把 Codex 能力供给其他 MCP 兼容 AI 客户端调用LobeHub。

四、安全原则（视频重点强调，MCP 风险最高）

1. 最小权限原则：优先只读权限，写入、删除权限按需开启，不要一次性全开；
2. 敏感凭据禁止硬编码写入配置文件，使用环境变量注入密钥、token；
3. 来路不明的第三方 MCP Server 谨慎接入，存在泄露密钥风险；
4. 高风险 MCP 工具配合计划模式 Plan使用，执行改动前人工审核；
5. 测试流程：接入完成先做最小功能验证，确认调用行为符合预期，再投入正式任务。

五、常见踩坑

1. 修改配置后继续在旧会话调试 MCP，疑惑工具不生效；
2. 一次性接入大量 MCP 服务：工具列表膨胀，占用上下文 token，模型会乱选工具；
3. 直接给 MCP 完整读写权限，没有审批拦截，外部工具误操作造成数据破坏；
4. 混淆 MCP 与 Skill：想要调用外部程序，只写 Skill，无法访问外部资源；
5. 网络、鉴权错误：MCP 显示已连接，但实际调用失败，忽略最小验证步骤。

六、实操提示词模板

模板 1｜新增 MCP 前风险评估

请分析这个MCP服务：
1.它会访问哪些资源，拥有什么权限；
2.潜在安全风险；
3.建议启用哪些工具，禁用哪些工具；
输出完成暂停，等待我确认后再接入配置，不要直接安装。

模板 2｜会话查看 MCP 状态

列出当前会话全部MCP服务，每个服务下可用工具，标记启用/禁用状态，标注哪些具备写、删除权限。

模板 3｜MCP + 计划模式安全执行

开启计划模式，使用MCP工具完成任务；所有会修改外部资源的操作，必须输出完整方案等待我确认，禁止直接调用写入类工具。