MCP 代理与 AI 授权
MCP 代理让支持 MCP 的 AI 客户端管理你选定的服务器，可选择临时或长期授权。
入口位于后台“远程管理 → MCP 代理”，包含“接入设置”“授权详情”和“操作记录”三个页签。本页适用于 Lite 2.3.7、Lite-agent 2.3.6.0。
使用条件
- 在“系统设置 → 通用”中开启“允许远程管理”和“启用 MCP 代理”。
- 将目标节点升级到 Lite-agent
2.3.6.0，并确认节点在线。 - 在节点本地通过
--enable-remote-control开启远程控制。MCP 与终端、文件和远程执行共用这个 Agent 开关，不需要另外安装 Agent 插件。 - 使用能够连接远程 MCP 服务并完成浏览器授权的客户端；客户端和授权浏览器均能访问你的 Lite 地址。
MCP 代理默认关闭。节点仅能正常上报监控数据，不代表已经支持 MCP；显示“当前 Agent 不支持 MCP 完整管理，请升级”时，需要更新 Agent 并等待重新连接。
连接客户端
- 打开“远程管理 → MCP 代理 → 接入设置”，复制“MCP 代理服务地址”，例如
https://monitor.example.com/mcp。 - 在 AI 客户端添加远程 MCP 服务，填入复制的地址并发起连接，打开客户端给出的授权链接。部分客户端会自动打开浏览器；不支持远程 MCP 的客户端需要使用兼容的本地适配器，具体字段以客户端说明为准。
- 在浏览器登录 Lite，核对请求连接的客户端名称与回调地址。
- 选择允许管理的服务器，设置临时授权时长，或勾选“长期授权”使其在撤销前一直有效；按需填写用途备注。“长期授权”默认不勾选。
- 使用通行密钥；或按表单提示，已启用 2FA 时输入当前验证码，未启用时输入管理员密码，再点击“授权并连接”。验证信息只提交给 Lite。
- 页面显示“授权完成”后会尝试自动回调，回到 AI 客户端继续操作。若客户端仍在等待，按下方说明手动完成回调。
申请列表
点击“申请列表”可查看当前申请或点击“拒绝”。
仅看到客户端出现在申请列表里，不代表已经完成授权。授权需打开 AI 客户端给出的授权链接，再在对应表单中完成。
授权表单支持拒绝。拒绝后，“授权详情”和“操作记录”会保留“已拒绝”记录；拒绝记录存在期间，同一客户端的后续申请也会被拒绝。如需恢复授权，可点击“删除历史记录”，或等待记录保留满 3 天后自动清除。清除后，客户端重新申请即可正常授权。
授权完成后客户端仍在等待
点击“复制地址”，将完整回调地址发送至刚刚申请授权的 AI 客户端。
回调地址在授权完成后 180 秒内有效，超时需从客户端重新发起申请。
授权范围与时长
当前提供“完整管理模式”：在有效期内，AI 可以在所选服务器上执行命令、使用交互终端、上传下载及读写文件，Lite 不会逐次弹窗确认。操作权限等同于 Agent 的运行账户；授权到期不会撤销已经完成的文件修改或命令效果。
临时授权
“接入设置”可调整以下默认值，修改后点击“保存设置”：
| 设置 | 默认值 | 可选范围 |
|---|---|---|
| 默认授权时长 | 30 分钟 | 1 分钟至站点设置的最长时长 |
| 最长授权时长 | 24 小时 | 1 分钟至 72 小时 |
| 每次授权最大并发 | 4 个操作 | 1–16 个操作 |
授权时长从点击确认开始计算，可以使用整数分钟或小时。默认时长不能超过最长时长；例如 90 分钟应使用分钟单位填写。
长期授权
在授权表单勾选“长期授权”后，界面显示“撤销前一直有效”，无需设置临时时长。长期授权仍只允许访问选定的服务器，并受每次授权最大并发限制。
| 操作或变化 | 临时授权 | 长期授权 |
|---|---|---|
| 达到所选时长 | 到期失效 | 不按临时时长到期 |
| 退出登录、登录会话到期或被删除 | 关联授权失效 | 保留 |
| Lite 服务正常重启 | 失效，需要重新授权 | 保留，可继续使用 |
| 手动撤销、撤销全部、关闭 MCP 或远程管理 | 失效 | 失效 |
| 修改密码、相关账号安全变更或授权人账号删除 | 失效 | 失效 |
已有授权不会自动改为长期授权；需要重新发起申请并在表单中勾选。单纯关闭授权页或浏览器页面不会撤销授权。
终端与文件
MCP 交互终端按当前授权有效期保持，授权到期或撤销后结束。空闲不会自动结束终端；连接断开后，授权仍有效时可重新打开。
文件上传、下载采用分块传输，每个数据块最多 1 MiB；这不是文件总大小限制，较大文件需分多次传输。
MCP 授权只允许访问所选节点及其操作，不授予 Lite 管理员账号权限。API Key、Agent 安装凭据和浏览器终端的短期授权不能替代 MCP 授权。
查看记录与撤销
- 授权详情：按客户端或服务器搜索，查看所选节点、临时授权剩余时间或长期授权标识、运行状态和并发使用情况；打开详情可核对授权人、用途和期限。
- 操作记录：查看 AI 发起的命令、终端和文件操作及其结果，支持筛选、搜索和“导出记录”；导出格式为 CSV。
- 撤销：停止接受该授权的新操作，并通知 Agent 结束关联任务与连接。“撤销全部”经确认后结束当前全部有效授权。
- 删除历史记录：在“操作记录”中点击该按钮并确认，可清理全部已拒绝、过期或撤销的授权详情及关联操作记录。清理不受当前搜索和筛选条件限制；仍有效的授权及其记录会保留。
- 回收空间：执行“删除历史记录”后，“主数据库”占用不会自动降低。如需释放磁盘空间，请点击“回收空间”。
- 重新授权：到期或撤销后，需要重新完成客户端连接与管理员验证。重新开启站点开关不会恢复已经撤销的授权。
已结束的授权详情和操作记录默认保留最近 3 天，需要长期留存时请及时导出。仍有效的授权会继续出现在列表中，包括创建超过 3 天的长期授权；操作记录仍按保留期限清理。撤销或到期会结束相关访问，但已经完成的操作不会自动回滚。
关闭“启用 MCP 代理”会撤销临时和长期 MCP 授权；关闭“允许远程管理”还会停止其他远程管理能力。修改密码、相关账号安全变更、应急重置密码或授权人账号删除，也会使对应长期授权失效；日常退出登录和正常重启则保留长期授权。
接入问题
| 现象 | 处理方式 |
|---|---|
| MCP 页面无法进入或服务地址返回 404 | 检查 Lite 版本，以及“允许远程管理”“启用 MCP 代理”两个开关 |
| 申请列表为空，或有客户端但无法授权 | 先在 AI 客户端添加 MCP 服务地址并发起连接，再打开客户端给出的授权链接 |
| 已显示授权完成，客户端仍在等待 | 复制完整回调地址，在 180 秒内发送至刚刚申请授权的 AI 客户端；超时重新申请 |
| 节点无法选择 | 检查在线状态、Agent 版本和本地远程控制开关 |
| 密码、验证码或通行密钥被拒绝 | 检查当前登录账号的验证方式；同一个验证码不能重复使用，刚完成登录时请等待下一组验证码 |
| 客户端连接后反复要求登录 | 检查授权是否到期或被撤销；临时授权还需检查关联登录会话，以及 Lite 是否重启 |
| MCP 终端断开 | 检查授权是否到期或被撤销、节点是否在线，以及代理连接状态；授权仍有效时可重新打开 |
| 页面可访问，客户端连接却被拦截 | 检查代理是否转发 MCP 和 OAuth 路径，以及 Cloudflare Access 是否允许客户端访问 |
MCP 使用面板下的 /mcp、/oauth/* 和 /.well-known/* 路径。反向代理及 Cloudflare Access 的配置见反向代理与 Tunnel。