MCP TypeScript SDK 安全公告：HTTP 服务器传输层与处理器未限制请求体大小和 JSON-RPC 批处理长度
MCP TypeScript SDK: HTTP server transports and handlers did not limit request body size or JSON-RPC batch length
AI 导读
MCP TypeScript SDK 发布安全公告，其 HTTP 服务器传输层与处理器未限制 POST 请求体大小和 JSON-RPC 批处理消息数量，大请求可耗尽服务器内存，单个长批处理可阻塞服务，且无需凭据即可利用。仅通过 Streamable HTTP 可访问的服务器受影响，只用 stdio 的服务器不受影响，express.json() 这类解析器因不限制批长度而不能提供保护。受影响版本为 @modelcontextprotocol/sdk 1.10.0 及以上、1.30.1 之前，@modelcontextprotocol/server 和 @modelcontextprotocol/node 2.0.0 及以上、2.1.0 之前，@modelcontextprotocol/hono 2.0.0 及以上、2.0.1 之前，已分别在 1.30.1、2.1.0、2.0.1 修复。
推荐理由
公告列明各包受影响与修复版本，并给出反向代理临时缓解办法，部署 MCP HTTP 服务的团队可据此排查升级。