- stdio（推荐）：客户端启动 MoleSignal 命令行（npm 包
@molesignal/cli的molesignal mcp）。命令行在浏览器中登录一次，把每条消息转给下面的端点。 - Streamable HTTP：客户端直接调用端点。
2026-07-28、2025-11-25、2025-06-18 与 2025-03-26 MCP 协议版本，不暴露旧版 HTTP+SSE；stdio 由命令行提供。
具备 agent.manage 权限的管理员可以在 Mole Agent → 设置 → Inbound MCP 中调整服务设置。
凭证绑定身份
Bearer 凭证决定用户、Service Account 与组织。Tool 参数不能选择调用者身份。
分层授权
实际可用 Catalog 是 Inbound MCP surface、当前 IAM 权限与 workspace Tool Policy 的交集。
受控变更
写操作的幂等、确认、审批、执行与审计全部保留在 MoleSignal 服务端。
渐进发现
初始 Tool 列表保持精简；需要其他能力时，再搜索当前身份有权使用的完整 Catalog。
接入前准备
- 非回环地址部署时，将
http.external_url配置为 MoleSignal 对外访问 Origin。参见配置。 - 打开 Mole Agent → 设置 → Inbound MCP，确认服务已启用。
- 复制页面展示的完整端点，包括协议与 Host。
- 选择 OAuth 2.1、个人 API Token 或 Service Account API Token。
通过 stdio 接入
先用 MoleSignal 命令行登录一次，需要 Node.js 20 或更高版本：~/.config/molesignal/config.json，只有你本人可读，并会自动续期。然后在客户端里把 MoleSignal 添加为 stdio 服务器，命令是 npx -y @molesignal/cli mcp：
npx -y @molesignal/cli status 检查连接并统计工具数。没有浏览器时，不用登录，改为在这个服务器的环境变量中设置 MOLESIGNAL_URL 与 MOLESIGNAL_TOKEN（API Token）。用 npm install -g @molesignal/cli 安装后，命令行就是 molesignal 命令；全部命令见 MoleSignal 命令行。
Mole Agent → 设置 → Inbound MCP 中的 配置提示词 会把这些步骤写给 Agent 工具照做；在它上方选择 stdio 或 Streamable HTTP。
选择 Agent 客户端
每个客户端页面先说明 stdio，再说明 Streamable HTTP。交互式人工会话优先使用 OAuth。Codex
使用
codex mcp 通过 stdio，或通过 Streamable HTTP 加 OAuth 接入。Claude Code
通过 stdio 或远程 HTTP Server 接入，可按 local、project 或 user scope 添加。
Cursor
在
.cursor/mcp.json 中配置 stdio 或 HTTP，然后在 Tools & MCP 中连接。VS Code
为 Copilot Agent Mode 配置 stdio 或 HTTP 的
mcp.json，并确认 Server Trust。Gemini CLI
通过 stdio 接入，或添加远程 HTTP Server 并用
/mcp auth 完成认证。所有地址统一使用一个规范 Host。
localhost 与 127.0.0.1 属于不同的浏览器 Cookie Origin；混用会触发再次登录或 OAuth resource 不匹配。使用 API Token 接入
API Token 适合非交互客户端与自动化。- 个人 API Token
- Service Account API Token
在 身份与访问 → API tokens 中创建 Token。Token 使用当前用户 Principal 与分配给该用户的角色。通过客户端的 Secret 或环境变量机制发送
Authorization: Bearer <token>。OAuth 发现与有效期
MoleSignal 在以下地址发布 OAuth 元数据：S256 的 Authorization Code、RFC 8707 resource 绑定、动态客户端注册、Refresh Token 轮换与 Token family 撤销。Access Token 有效期为一小时。Refresh Token 需要 offline_access scope 与 refresh_token grant，有效期为 30 天，并在每次使用后轮换。
可以在 Mole Agent → 设置 → Inbound MCP 中查看和撤销活动 OAuth 连接。连接列表下方的 配置提示词 带有本部署的端点：选择 复制提示词，粘贴到 Claude Code、Cursor 等 Agent 工具里，它会把 MoleSignal 添加为 MCP 服务器。
理解租户边界
不要在端点、自定义 Header 或 Tool 参数中发送user_id 或 org_id。MoleSignal 从认证凭证派生这两个身份，在每次请求中重新加载当前 IAM 快照，并将 MCP Session 绑定到初始化该 Session 的凭证。
实际可用 Tool 集合为：
从 Tool 适配器开始
tools/list 只公布一组精简且已授权的能力：7 个常用只读 Tool、审批与执行控制 Tool，以及 3 个渐进发现适配器。
典型提示词：
- “搜索 MoleSignal 中的近期事件工具，总结影响最大的未解决事件。”
- “查找状态页工具并列出活动事件，不要执行任何变更。”
- “先测试这条告警规则；只有在完成所需确认或审批后才更新。”
运行限制
在 Mole Agent → 设置 → Inbound MCP 中编辑这些值。组织 Tool Policy 可以为单个 Tool 设置更严格的超时或响应大小限制。
浏览器 Origin 与 Host 检查
非浏览器 MCP 客户端可以不发送Origin Header。浏览器请求必须同源，或精确匹配 Inbound MCP 设置中的 HTTP/HTTPS Origin。
非回环地址部署时，请求 Host 必须匹配 http.external_url。该检查用于阻止针对本地 MCP Server 的 DNS rebinding 攻击。