MCP 官方参考服务器发布 v2.3.0：文件系统新增只读模式与复制追加工具，fetch 加入主机允许列表

modelcontextprotocol/servers 仓库于 2026 年 11 月 4 日发布 v2.3.0（正式版，非预发布），一次性更新 7 个包：npm 侧的 server-everything、server-filesystem、server-memory、server-sequential-thinking，以及 PyPI 侧采用日期版本 2026.11.4 的 mcp-server-fetch、mcp-server-git、mcp-server-time。文件系统新增 append_file、copy_file、只读模式与根目录约束，fetch 新增主机允许列表与可配置超时，git 新增合并与只读远端查询工具。

这次发布的是什么

Model Context Protocol（MCP）官方参考服务器仓库 modelcontextprotocol/servers 于 2026 年 11 月 4 日发布 v2.3.0，GitHub Release 标注为正式版（draft=false、prerelease=false）。这不是单个功能点，而是七个包的一次协调升级：npm 上的 @modelcontextprotocol/server-everything 2.2.1、server-filesystem 2.2.0、server-memory 2.1.0、server-sequential-thinking 2.1.1，以及 PyPI 上采用日期版本号 2026.11.4 的 mcp-server-fetch、mcp-server-git、mcp-server-time；发布说明把七个包都标为已发布。

改动集中在「让客户端更安全地自动调用」：filesystem 新增 append_file 与 copy_file 两个工具、可只暴露读工具的只读模式、把客户端 Roots 限制在命令行目录内的根目录约束，并用 file 模板把文件暴露为资源；fetch 新增主机允许列表与可配置的 HTTP 超时，并把 Readability.js 放进有边界的子进程；git 新增合并工具与只读的远端查询工具。

要写清楚的是：这是参考服务器集合的版本发布，不是 MCP 协议规范本身升级。仓库发布说明没有宣布新的传输协议或规范变更，本文也不把两者混为一谈。

可用性与限制

• 发布渠道：npm 与 PyPI，发布说明中七个包均标注 published
• 版本口径：npm 包用语义版本，PyPI 三个包用日期版本 2026.11.4，锁依赖时不要按同一套规则推
• 行为变化：filesystem 新增只读模式与根目录约束，属于启动参数层面的变化，升级前需复核现有命令行配置
• 来源控制：fetch 新增主机允许列表与可配置超时；未配置时的默认行为发布说明未写，以官方文档为准
• 安全修复：filesystem 把 minimatch 提升到较新版本，对应公告列出的 GHSA-g3hv-75wg-m249
• 兼容说明：发布说明未给完整迁移清单、性能基准与各客户端兼容性矩阵，均以仓库文档为准
• 未涉及：本次没有新的协议规范变更或新传输方式公告

主要功能

• 为 filesystem 增加 append_file 与 copy_file 两个工具
• 增加只读模式，只向客户端暴露读类工具
• 增加根目录约束，把客户端 Roots 限定在命令行目录内
• 用 file 模板把文件作为资源暴露给客户端
• 为 fetch 增加主机允许列表与可配置的 HTTP 请求超时
• 为 git 增加合并工具与只读的远端列表查询工具

技术原理

据发布说明，这一版补齐的主要是工具元数据的标注：everything 侧加入测试，检查每个注册工具都带齐四类标注提示；filesystem 在只读工具上标注幂等与破坏性提示；memory 在创建实体、创建关系、追加观察这类写入工具上标注幂等提示。这些标注不改变工具的输入输出，作用对象是客户端——让它判断某个调用能否安全重试、是否会改动外部状态。

另一组改动是把失败说清楚、把边界收紧。fetch 侧把 Readability.js 放到有边界的子进程里运行，避免占用事件循环与标准输出，并通过 Accept 内容协商优先请求原生 markdown；同时新增主机允许列表与超时配置。filesystem 侧让编辑找不到匹配时回显最接近的文件行、明确 search_files 匹配的是文件名而不是内容、把悬空符号链接报为断链而不是缺父目录。time 侧把省略的时区参数默认到本地时区，并修正回拨时间下重复时刻的处理。

底层仍是 MCP 的工具、资源与提示这几类原语：这一版新增的是工具、参数与标注，不是协议层的新机制。仓库没有在发布说明里给出架构图或性能数据，这部分以仓库文档为准。

实际体验

不做主观实测，只记录发布说明可核对的观察。

一是这批改动有共同取向：只读模式、主机允许列表、根目录约束、幂等与破坏性标注，都是为了让客户端在无人逐步确认时能更稳妥地自动调用。把它们拆成孤立的小更新读，会看不见这条主线。

二是相当一部分提交属于「把含糊的失败说明白」：编辑无匹配时给出附近行、搜索结果说明匹配的是名称、符号链接报为断链、目录树支持深度参数、目录大小无法取时标为未知。对排错的人来说，这类改动往往比新增一个工具更实用。

三是版本口径值得单独留意：npm 四个包分别是 2.2.1、2.2.0、2.1.0、2.1.1，PyPI 三个包统一为 2026.11.4。做依赖锁定与升级核对时要按注册表分别看，不能假定「v2.3.0 等于所有包都是 2.3.0」。

四是发布说明末尾的致谢里列出了一批社区长期提案，包括文件系统复制工具、只读模式、目录树深度参数、更短的顺序思考工具描述等。这说明这次是积压需求的一次集中合并，而不是突发的架构重写；判断影响范围时，按「已有工具的增量」看待更稳妥。

项目地址与获取方式

• 版本发布说明：https://github.com/modelcontextprotocol/servers/releases/tag/v2.3.0
• 仓库主页：https://github.com/modelcontextprotocol/servers
• npm 包：@modelcontextprotocol/server-filesystem 等四个包
• PyPI 包：mcp-server-fetch、mcp-server-git、mcp-server-time
• 获取方式：通过 npm 与 PyPI 官方仓库按包名安装并锁定版本，升级前对照发布说明复核启动参数；请通过官方渠道获取，避免安装被篡改的版本

适合谁用

• 自己搭建 MCP 客户端、网关或调试工具的开发者
• 需要把智能体的文件访问范围限制到指定目录的团队
• 维护本地知识库、网页抓取与代码仓库自动化管线的人
• 关心工具元数据标注与自动重试安全性的平台工程人员
• 不必用：只使用现成桌面客户端、不直接管理服务器进程的使用者——升级由客户端侧统一带过来

常见问题

这是 MCP 协议本身升级了吗？

不是。v2.3.0 是该仓库参考服务器集合的一次版本发布，改动落在具体包的新工具、新参数与工具标注上。发布说明没有宣布协议规范或传输方式的变更，把两者混写会让读者误以为客户端必须跟着改协议实现。

升级会改变现有的权限范围吗？

可能会，取决于现有启动参数。filesystem 新增只读模式与根目录约束，fetch 新增主机允许列表；这些是可选的能力边界，但升级后如果沿用旧参数，实际生效范围需要重新核对。发布说明未给完整迁移清单，细节以仓库文档为准。

各包版本为什么不一致？

因为分属两套注册表与版本策略：npm 上的四个包用语义版本，各自独立发版；PyPI 上的 fetch、git、time 三个包统一采用日期版本 2026.11.4。v2.3.0 是仓库这次协调发布的版本号，不等于每个包都升到 2.3.0。

只读模式能替代沙箱吗？

不能按等价理解。发布说明里只读模式的作用是只向客户端暴露读类工具，属于工具暴露面的收敛；它不承诺进程级隔离、系统调用限制或网络隔离。需要强隔离时，仍应按部署环境另做沙箱配置，具体以官方文档为准。

相关工具与内容

站内 AI编程分类 与 AI智能体分类 汇总了开发者侧工具；Claude Code 工具页、Cursor 工具页 与 LangChain 工具页 是常见的 MCP 客户端或集成侧入口。版本脉络可看 MCP 参考服务器 2.2.0 发布 与 FastMCP 4.1.1 发布。