MCP 与 Coding Agent 面试：工具与信任边界

Model Context Protocol（MCP）已经从小众集成细节，变成 Agent 系统面试里的常见主题。真正值得回答的问题不是“你的助手能连接多少个 Server”，而是：当模型被允许调用工具时，你能否把工具边界设计得清楚、受限、可恢复。

Coding Agent 权限弹窗指南 讨论的是 Agent 请求权限的瞬间；本文把视线往前移，专门拆解能力如何被发现、谁来信任，以及什么证据能证明集成按预期工作。

先说结论： MCP 是协议边界，不是授权决定。回答时要分开讲发现、选择、授权、执行和验证；先从一个类型明确的只读工具开始，再考虑写入或外部副作用。

先用一句人话解释协议边界

官方 MCP 规范 描述了一种让 AI 应用访问工具、资源和提示的客户端—服务器协议。面试中不要说 MCP 让模型“突然理解了整个公司”。协议传递的是结构化能力描述和调用；认证、策略、状态和错误处理仍然属于你的运行时。

可以用五步心智模型回答：

1. 发现：客户端知道 Server 声称提供什么。
2. 选择：判断当前任务是否真的需要这项能力。
3. 授权：确认当前用户、会话和数据边界能否调用。
4. 执行：校验输入，再运行受限操作。
5. 验证：检查结果，并记录实际发生了什么。

把这五步拆开，就不会犯“工具描述出现了，所以 Agent 已经获得权限”的常见错误。

面试官期待你主动说出的五个细节

Schema 与校验。 工具要写清必填字段、允许值、大小限制和失败方式。服务端仍要再次校验；模型生成的 JSON 依然是不可信输入。

身份与范围。 说明调用使用哪个用户、仓库、租户和环境。不要让 Server 从自然语言猜身份，优先使用签名会话或显式 capability。

数据最小化。 只传完成操作必需的上下文。查一条工单通常不需要整段对话、环境变量或本地文件系统。脱敏应发生在边界，而不只是 UI 上。

超时与重试。 慢工具可能造成重复写入或过期答案。要说清哪些调用幂等、请求 ID 记录在哪里、客户端等待多久后停止。

确认与审计。 只读检索、本地写入、网络传输和生产变更不能共用一个批准策略。记录工具名、校验后的参数、操作者、结果和人工确认。

一个足够小、又能展示判断力的 MCP 题目

假设题目是让 Agent 检查 Pull Request 并建议测试。先做只读 get_diff 工具：限制仓库和 PR ID，限制返回大小，对权限不足返回结构化错误。只有在说明 Sandbox、命令白名单、超时和输出脱敏之后，再增加 run_test 工具。

不要一上来就做 merge_pull_request。这是外部副作用，恢复路径完全不同。若需求最终确实需要合并，应显式展示提议、请求确认、使用幂等键执行一次，再检查最终状态。

这种渐进方式比第一轮就接十个工具更成熟，也更容易回答“Agent 做错了怎么办”：先在边界处缩小爆炸半径，而不是等人来救火。

Prompt Injection 本质上是工具边界问题

内容通过结构化通道到达，并不代表它可信。仓库 README、Issue 正文或数据库字段都可能包含诱导模型越权的指令。把检索文本当数据，把系统策略放在工具结果之外；当动作必要性尚未被任务证明时，要求人工确认。

Prompt Injection 面试指南 有具体案例。回答 MCP 时要把所有权说清楚：Server 负责能力和身份校验；客户端或后端执行策略；模型提出方案；人批准有后果的动作。

怎样评估一个 Agent 集成

不要依赖模型自信程度，要看可观察凭证。每次调用至少记录：选中的工具、校验后的输入、授权决定、延迟、结果摘要和验证结论。至少测试一次拒绝、一次格式错误、一次超时和一次外部部分失败。

如果工具超时，Agent 却给出非常确定的结论，这不是优雅降级，而是证据问题。它应该披露缺少支持、以安全方式重试，或请求更窄的下一步。Agent 可观测性指南 可以帮助你补全 Trace 语言。

一段可以直接说的面试回答

“我会用 MCP 暴露一个小而类型明确的能力，但把发现和授权分开。Server 校验身份、租户和输入；运行时根据后果应用最小权限和确认策略；每次调用都有 request ID、超时和凭证。我会先做只读工具，覆盖拒绝和超时，再在具备验证与回滚后增加写入。”

这段回答既体现协议知识，也没有模糊所有权。MCP 的价值正是让边界可见；你的任务是在压力下保持它可见。

常见问题

MCP 就是 AI Agent 吗？

不是。MCP 规范客户端和服务器暴露能力的方式；Agent 还包括规划、工具调用、状态和失败处理等运行时。

每个 MCP 工具都必须弹窗确认吗？

确认强度应和后果匹配。只读元数据可以低摩擦处理；写入、联网、凭证和外部副作用则需要明确策略与复核。

面试演示 MCP，做多大最好？

选一个 schema 清晰、输入受限、包含拒绝分支和验证步骤的小工具。范围可检查的小演示，通常比一口气接十个 Server 更有说服力。

参考来源

• Model Context Protocol 规范
• MCP 安全最佳实践
• OWASP：LLM Prompt Injection 防护清单

下一步

• 用 权限弹窗指南 练习批准理由
• 复习 Agent 可观测性与失败凭证
• 对比 Single-Agent 与 Multi-Agent 取舍
• 下载 Interview AiBox