企业官网建设流程全解析

• 文档
• 教程
• AI 技能

本篇技术指南聚焦于 Claude Code 中 MCP（Model Context Protocol）服务器的实战选型与配置。它基于仓库 best-practice/claude-mcp.md 的核心内容，并结合仓库中真实落地的 .mcp.json 配置、claude-settings.md 的设置体系与浏览器自动化对比报告，讲解如何为日常开发挑选 MCP 服务器、如何编写安全的项目级配置、如何通过 settings 与权限规则管控 MCP 工具的调用。读完本文，你将能独立搭建一套"研究 → 调试 → 文档"的 MCP 工作流，并掌握 MCP 作用域（Project / User / Subagent）与细粒度权限治理的完整方法。

一、MCP 为什么值得认真对待

MCP（Model Context Protocol，模型上下文协议）是 Claude Code 连接外部工具、数据库与 API 的标准通道。它为 Claude 扩展出"看得到"的外部世界：拉取最新文档、驱动真实浏览器、检查网络请求、生成架构图。在"从 vibe coding 走向 agentic engineering"的实践路径中，MCP 正是让 Agent 从"会写代码"升级为"能自主完成端到端任务"的关键一环。

但社区里有一个被反复验证的教训：MCP 服务器不是越多越好。r/mcp 社区的一篇高赞讨论（682 upvotes）直言："曾经一口气配了 15 个 MCP 服务器，以为越多越强，最后每天真正在用的只有 4 个。"（该讨论及原文引用见 claude-mcp.md）。

每个 MCP 服务器都会向上下文注入工具定义与能力描述，占用宝贵的上下文窗口。本仓库的实际做法（见仓库根目录 .mcp.json）也印证了"少而精"的原则：只启用 3 个服务器——playwright、context7、deepwiki。

二、日常精选：5 个值得长期使用的 MCP 服务器

原文档推荐了 5 个经过社区验证、适合日常使用的 MCP 服务器，覆盖从"查资料"到"写代码"再到"验证与出图"的完整链路：

社区口碑要点

• Context7 被 r/mcp 社区评价为"目前对编码而言最好的 MCP"：它的核心价值在于消除 API 幻觉——训练数据里的 API 可能已经过时，而 Context7 实时拉取的文档保证 Claude 写出的调用代码真实可用。
• Playwright 被认为是前端开发的事实标准：它能自己打开浏览器、点击、断言、截图，把"我写的 UI 到底能不能跑"从猜测变成可验证的结论。
• Claude in Chrome 对"调试用户实际看到的页面"被形容为"game changer"：它直接复用你已登录的浏览器会话，能看到 console 错误、网络请求与真实 DOM。仓库中有一份专门的对比报告 claude-in-chrome-v-chrome-devtools-mcp.md，从 token 占用、能力矩阵、安全性与适用场景四个维度对比了 Chrome DevTools MCP、Claude in Chrome 与 Playwright MCP，可作为选型参考（详见本文第五节）。
• DeepWiki 的社区建议是"把它放在网关后面与 Context7 一起用"，以控制 token 成本、形成"知识获取"的组合拳。

推荐的日常工作流

研究（Context7 / DeepWiki）→ 调试（Playwright / Chrome）→ 文档（Excalidraw）

这个流水线恰好对应一个典型开发日的三段节奏：动手前先查准 API（研究），实现后用真实浏览器验证（调试），收尾时把方案画成图沉淀下来（文档）。

仓库中的真实落地

本仓库根目录的 .mcp.json 正是这套理念的实装，且为每个服务器锁定了明确版本以避免行为漂移：

{ "mcpServers": { "playwright": { "command": "npx", "args": ["-y", "@playwright/mcp@0.0.70"] }, "context7": { "command": "npx", "args": ["-y", "@upstash/context7-mcp@2.1.8"] }, "deepwiki": { "command": "npx", "args": ["-y", "deepwiki-mcp@0.0.6"] } } }

注意这里与原文档示例的两处工程化差异，值得在实际项目中借鉴：

1. 锁定版本号（@playwright/mcp@0.0.70而非@playwright/mcp）：团队共享配置时，固定版本可避免某天npx -y拉到破坏性升级导致所有人同时出问题；
2. 只配"真正每天用"的服务器：仓库没有把 Excalidraw、Claude in Chrome 等全部塞进项目配置，因为它们要么不是每次开发都需要、要么（Claude in Chrome）更依赖个人浏览器环境，更适合放在用户级作用域（见第四节）。

三、配置详解：从.mcp.json到权限治理

3.1 配置文件位置

MCP 服务器有两个主要的配置落点：

3.2 两种服务器类型

绝大多数常用服务器（Context7、Playwright、DeepWiki 等）都是 stdio 型：Claude Code 会替你 spawn 一个本地子进程。http 型则适用于公司内部托管的统一 MCP 网关，或者希望多个客户端共享同一个远程服务的场景。

3.3 一份可直接复制的完整配置

原文档给出的.mcp.json示例覆盖了三种 stdio 服务器与一个 http 远程服务器：

{ "mcpServers": { "context7": { "command": "npx", "args": ["-y", "@upstash/context7-mcp"] }, "playwright": { "command": "npx", "args": ["-y", "@playwright/mcp"] }, "deepwiki": { "command": "npx", "args": ["-y", "deepwiki-mcp"] }, "remote-api": { "type": "http", "url": "https://mcp.example.com/mcp" } } }

要点解读：

• command+args是 stdio 服务器的标准形态；npx -y会在首次使用时自动拉取并执行对应 npm 包，无需手动安装；
• http 型服务器必须显式声明"type": "http"并给出url；
• 若你的项目已参考 .mcp.json 锁定了版本号，只需在上述args中把包名改为包名@版本号即可。

3.4 敏感信息：用环境变量扩展代替硬编码密钥

绝对不要把 API Key 直接写进.mcp.json（该文件会随 git 提交）。Claude Code 支持在配置值中使用${VAR}环境变量扩展：

{ "mcpServers": { "remote-api": { "type": "http", "url": "https://mcp.example.com/mcp?token=${MCP_API_TOKEN}" } } }

密钥只存在于你的 shell 环境或 claude-settings.md 的env块中，配置文件里只剩占位符，从而可以安全地提交进仓库。

3.5 settings.json 中的 MCP 审批设置

在.claude/settings.json中，以下三个键控制 MCP 服务器的"自动批准"行为（详见 claude-settings.md 的 MCP Servers 章节）：

⚠️安全提示（v2.1.196 起）：.mcp.json中的服务器不再自我批准，必须显式通过enableAllProjectMcpServers: true或enabledMcpjsonServers白名单才能免提示使用。这一收紧意味着：拉取一个含.mcp.json的陌生仓库时，其中的 MCP 服务器不会自动获得执行权限，必须由你主动确认。

配置示例：

{ "enableAllProjectMcpServers": true, "enabledMcpjsonServers": ["memory", "github", "filesystem"], "disabledMcpjsonServers": ["experimental-server"] }

实际项目中更稳妥的做法是：默认只填enabledMcpjsonServers白名单（明确列出你信任的服务器），而不是一把梭开启enableAllProjectMcpServers。

3.6 MCP 工具的权限规则：mcp__<server>__<tool>命名约定

MCP 暴露的每个工具在权限系统中都有全局唯一的命名：mcp__<服务器名>__<工具名>。这让权限规则可以精确到"某一个服务器的某一个工具"。原文档给出了完整示例：

{ "permissions": { "allow": [ "mcp__*", "mcp__context7__*", "mcp__playwright__browser_snapshot" ], "deny": [ "mcp__dangerous-server__*" ] } }

规则解读：

• mcp__context7__*：放行 context7 服务器的全部工具；
• mcp__playwright__browser_snapshot：只放行 playwright 的一个具体工具（截图）；
• mcp__dangerous-server__*：整体拒绝某个不可信服务器的所有工具；
• deny优先级最高，先于allow评估（规则顺序：deny → ask → allow，首个匹配生效）。

⚠️allow 规则的锚定限制（v2.1.210 确认）：在allow规则里，通配符必须跟在字面量mcp__<server>__前缀之后，即服务器名段不能含通配符。"allow": ["mcp__github__*"]有效；而"allow": ["mcp__*"]这样的未锚定通配符会被启动时静默跳过、不会自动批准任何东西。若想整体放行，正确姿势是用"deny": ["*"]做全局封锁、再用具体的 allow 规则逐项开洞。

另需注意，MCP(server:tool)的简写形式在官方权限文档中未经验证，唯一确认可用的形式是双下划线全名mcp__server__tool（见 changelog/best-practice/claude-settings/changelog.md 的核对记录）。

3.7 值得关注的版本新特性

依据 claude-settings.md 与 claude-mcp.md 的记录，以下新特性会直接影响你的配置策略：

• .mcp.json热重载（v2.1.139）：/mcp界面的 Reconnect 操作会重新从磁盘读取.mcp.json，新增或编辑服务器不再需要重启会话；同时 Claude Code 会把CLAUDE_PROJECT_DIR注入 stdio 服务器的环境，让服务器能解析相对项目根目录的路径。
• alwaysLoad按需加载（v2.1.121）：默认情况下 MCP 工具定义是"延迟加载"的（通过工具搜索按需注入上下文）。对每个 turn 都要用的小工具集，可在服务器条目上加"alwaysLoad": true让它会话启动即加载——代价是每个提前加载的工具都会占用上下文，所以只建议给极少数核心工具开启。
• OAuth 自动完成（v2.1.111）：符合规范（RFC 9728，暴露/.well-known/oauth-protected-resource发现端点）的 MCP 服务器，Claude Code 会自动完成 OAuth 授权流程，无需再手写apiKeyHelper或headersHelper脚本。
• 保留服务器名（v2.1.128+）：workspace、Claude Browser、Claude Preview是保留名，用户自定义服务器若撞名会在加载时被跳过并记录警告。
• 每服务器超时下限（v2.1.162）：小于 1000ms 的 per-servertimeout会被忽略，回退到全局MCP_TOOL_TIMEOUT默认值。

alwaysLoad的配置形态（摘录自 claude-settings.md）：

{ "mcpServers": { "always-on-server": { "type": "http", "url": "https://mcp.example.com", "alwaysLoad": true } } }

四、MCP 作用域：三处定义、一个优先级

MCP 服务器可以在三个层级定义（原文档核心内容，并与 claude-subagents.md 的 frontmatter 字段相互印证）：

优先级：Subagent > Project > User—— 子代理级定义会覆盖项目级，项目级覆盖用户级。

其中Subagent 作用域是 agentic engineering 的重要进阶能力（见 claude-subagents.md）：你可以在.claude/agents/*.md的 frontmatter 里给某个专用子代理挂专属 MCP 服务器，既可以是已定义服务器的名字字符串，也可以是{name: config}内联对象。典型场景：给"前端验证"子代理挂 Playwright、给"资料研究员"子代理挂 Context7 + DeepWiki，让每个 Agent 只带自己需要的工具，避免主会话的上下文被无谓的工具定义挤占。

相关佐证也见于 reports/claude-global-vs-project-settings.md：它将 MCP 用户服务器（~/.claude.json的mcpServers键）与项目服务器（.mcp.json）列为全局配置与项目配置的核心差异之一，三作用域遵循"local > project > user"的优先级框架。

五、进阶治理：企业级 MCP 管控

如果你的团队需要统一治理 MCP 使用（管理托管设置、限制可安装服务器），claude-settings.md 的 MCP Servers 章节提供了完整的管理侧键位，其中几个与日常实践最相关：

管理端匹配规则示例（来自 claude-settings.md）：

{ "allowedMcpServers": [ { "serverName": "github" }, { "serverCommand": "npx @modelcontextprotocol/*" }, { "serverUrl": "https://mcp.company.com/*" } ], "deniedMcpServers": [ { "serverName": "dangerous-server" } ] }

${VAR}插值（v2.1.219）：上述匹配条目支持${VAR}占位符，加载时从启动环境与 managed-settings 的env块解析，避免在管理配置里硬编码环境相关的服务器名或 URL。

此外，管理配置还通过managed-mcp.json文件独立交付 MCP 服务器定义，与managed-settings.json并存（见 claude-settings.md 的 Settings Hierarchy 章节与 changelog/best-practice/claude-settings/changelog.md 的相关核对记录）。

六、浏览器自动化选型：Playwright MCP vs Chrome DevTools MCP vs Claude in Chrome

原文档将 Playwright 与 Claude in Chrome 同时列入日常推荐，二者分工容易混淆。仓库中的专项报告 claude-in-chrome-v-chrome-devtools-mcp.md（由 Claude Code 基于 Opus 4.5 生成）给出了清晰的分工结论：

报告的三个关键结论，值得在做选型决策时参考：

1. Token 效率差异真实存在：Playwright MCP 约 13.7k tokens（6.8% 上下文），Claude in Chrome 约 15.4k（7.7%），Chrome DevTools MCP 约 19.0k（9.5%）——在 200k 上下文中，Playwright 比 Chrome DevTools 多留出约 5.3k tokens 给实际任务；
2. 安全性差距明显：Playwright 与 Chrome DevTools 均使用隔离浏览器上下文、无云端依赖；Claude in Chrome 复用你的真实登录会话，存在 cookie 暴露风险，且仍处于 beta、被限制访问金融/成人/盗版站点——不适合放进 CI/CD；
3. 分工建议：Playwright 作主测试工具（跨浏览器、更省 token、更适合 E2E），Chrome DevTools 用于"为什么这么慢/这个 API 调用哪有问题"类深度调试，Claude in Chrome 仅用于需要登录态的快速目视检查。

这与原文档"调试（Playwright/Chrome）"的工作流定位完全一致：Playwright 负责自动化验证，Claude in Chrome 负责人类视角的目视确认。

七、实战清单：从零搭建你的 MCP 环境

结合原文档与本仓库落地经验，整理一份可直接照做的检查清单：

1. 克制数量：从 5 个精选服务器中挑选当前工作流真正需要的 2～4 个，拒绝"集邮式"安装；
2. 项目级配置：在仓库根目录写.mcp.json，并为 stdio 服务器锁定@包名@版本号，参照 .mcp.json；
3. 用户级配置：个人工具（如 Claude in Chrome、Excalidraw）放~/.claude.json，避免污染每个项目；
4. 密钥不入库：URL 或 header 中的敏感信息一律用${VAR}环境变量扩展；
5. 审批收紧：在.claude/settings.json用enabledMcpjsonServers白名单（而非一把梭enableAllProjectMcpServers: true）控制自动批准范围；
6. 权限细化：利用mcp__<server>__<tool>命名做最小化放行，注意 allow 通配必须锚定在mcp__<server>__前缀之后；
7. 善用作用域：把专用服务器挂到子代理 frontmatter（Subagent 作用域优先级最高），为主会话省上下文；
8. 关注新特性：.mcp.json热重载（无需重启）、alwaysLoad（小工具集常驻）、OAuth 自动授权（免手写鉴权脚本）都能显著改善体验。

附：本文引用的仓库证据

• best-practice/claude-mcp.md — 本文的主体骨架：日常推荐服务器、配置示例、权限规则与作用域
• .mcp.json — 仓库真实落地的项目级 MCP 配置（playwright / context7 / deepwiki，含锁定版本）
• best-practice/claude-settings.md — MCP 审批设置、管理端匹配、alwaysLoad、OAuth、保留名与超时下限等版本新特性
• best-practice/claude-subagents.md — 子代理 frontmatter 的mcpServers字段（Subagent 作用域）
• reports/claude-in-chrome-v-chrome-devtools-mcp.md — 浏览器自动化三方案对比报告
• reports/claude-global-vs-project-settings.md — 全局与项目设置中的 MCP 作用域差异
• changelog/best-practice/claude-settings/changelog.md — MCP 相关设置项与权限规则的逐项核对记录

• 文档
• 教程
• AI 技能