MCP 数据流与最小采集：接上一个 MCP server，我的哪些私有上下文被交出去、谁在过度采集
一句话摘要：接上一个 MCP server，host 会把我上下文的某个切片交给它——问题是交了哪些字段、这个 server 采集了多 少、以及当你接了七八个 server 时凭据在它们之间怎么集中。这是数据流与治理问题，不是攻击：MCP 规范白纸黑字要求「host 必须先取得用户明确同意，才能把用户数据暴露给 server」，Anthropic 的软件目录政策更要求「软件只采集执行其功能所必需的上下文数据，即便为了日志也不得采集多余的对话数据」——现实里却常见一个 server 被授予远超所需的范围（为读一个文件夹却拿到整个 home 目录）、凭据在多个 server 间堆成一个高价值目标、数据经第三方托管的 server 绕道别人的基础设施。结论先行：先画清「每个 server 到底收到我哪些上下文字段、这些字段是不是它所必需」，再谈接不接；把「只连官方 server 就安全」「同意弹一次就够」当成整条边界，是这一层最常见的运营期假安全。