人工效率低，直接开放又不安全
- 查单、对账、初始化依赖人工，效率低且容易出错。
- 想使用大模型，又担心越权、误改数据，安全没有底。
- 不能把登录密码或数据库访问权直接交给机器人。
01 · 方案价值
既解决效率问题，也把安全顾虑落到可执行的管控上
客户需要的不是一个拥有“超级权限”的机器人，而是一个能够提高效率、同时严格服从OMS权限与审批规则的受控助手。
只调用登记工具，写入必须由人点头
- 只开放事先登记的工具和固定业务接口，不留后门。
- 每次调用携带专用钥匙，叠加工牌权限和部门数据范围。
- 改数据默认先演习，明确批准后才真正写入并回读核对。
固定工具
不开放任意入口
大模型只能从已经登记的工具中选择，无法自行探索后台或数据库。
权限跟人
权限与数据双重管控
工牌决定能办什么，部门范围决定能看哪一份业务数据。
人来批准
写入保持责任边界
演习、说明、单次批准、真写、回读与回执构成完整回路。
02 · 能力边界
先说明能做什么，也明确哪些事情不会做
能力范围取决于现场实际开放的工具，不是口头承诺。未登记、未授权、未开放的操作无法绕过边界执行。
当前范围内
查询业务单据订单、发货、退款、售后、补寄等。
查看主数据组织、仓库、物流、物料等。
修改部分规则默认先演习，并在获得批准后执行。
初始化操作需要明确批准，不允许静默执行。
巡检类操作先预检，再由人确认是否执行。
有限诊断支持队列查看等有限的运维侧诊断。
两种部署方式支持本地部署或远程服务。
明确范围外
- 直接修改数据库或执行任意SQL。
- 自行提升权限成为管理员。
- 执行尚未开放的发货、退款操作。
- 代替用户完成平台扫码授权。
边界原则：OMS MCP不会因为接入大模型而额外创造后台权限；大模型只能使用系统明确开放并授权给当前账号的能力。
03 · 工作机制
MCP是受控中间层，不是通往数据库的捷径
从自然语言到业务数据需要逐层向下，每一层都承担明确职责；大模型不能跨层直接访问 OMS 数据库。
从对话
到业务数据
到业务数据
大模型助手
理解人的表达并选择工具，但不直接访问数据库。
中间层 MCP
只暴露登记过的工具，会话级携带专用钥匙；支持本地部署或远程服务。
固定接口门
验证钥匙、工牌与部门范围，再按权限返回或处理业务数据。
OMS业务能力 / 数据库
真正完成业务操作，禁止任意SQL或直接连接数据库。
全程经过
受控通道
受控通道
一次提问，要经过八个受控环节
01
提问
用户用自然语言说出需要办理的事情。
02
选工具
大模型从已经登记的工具中选择合适能力。
03
带钥匙
本次调用携带独立的专用接入凭证。
04
验权限
核验钥匙、工牌以及当前部门数据范围。
05
取数 / 写入
只在当前权限允许的范围内读取或操作。
06
返回结果
OMS结果回传给大模型进行整理。
07
组织语言
大模型把业务结果转换为易懂的回答。
08
告诉用户
最终结果清晰呈现给发起请求的人。
每一次请求都必须通过：专用钥匙 ＋ 工牌权限 ＋ 部门数据范围
04 · 安全纵深
六道锁共同守住OMS入口
单一控制不足以形成完整门禁。来源、身份、权限、会话、写入与数据范围需要层层叠加才能生效。
01
只开固定接口门
不开放任意后台地址或SQL，只开放已登记的业务接口。
02
专用钥匙进门
使用的不是OMS登录密码，接入凭证独立管理。
03
钥匙指纹入库
密钥明文只显示一次，库中只保存不可逆指纹。
04
会话绑定
远程连接不能中途偷换钥匙，一次连接只使用一把钥匙。
05
IP收紧入口
不仅核验凭证，还通过IP白名单限制请求可以从哪里进入。
06
写操作受控
所有写入遵循“演习 → 批准 → 真写 → 回读”的回路。
IP管理来源，钥匙管理身份和能力。两类控制叠加，才构成完整的入口门禁。
第一道门 · 功能门禁
先判断能不能办这类事
工牌上具备的功能，才能调用对应工具；工牌上没有的能力直接拒绝。
控制对象：工具与业务动作
第二道门 · 部门数据范围
再判断能不能看这份数据
通过第一道门后，再按部门过滤单据；不属于本部门的数据不可见或返回空结果。
控制对象：部门与业务数据范围
逐层收紧：第一道门控制“能不能办”，第二道门控制“能不能看”。两者不能互相替代。
05 · 写入控制
改数据默认先演习，批准只对这一笔有效
写操作不是一次模糊授权，而是逐笔审批、可解释、可核对、可留痕的受控业务操作。
先演习
不真正写入，只展示系统准备修改什么。
告诉你
清楚说明改动内容、对象和影响范围。
你批准
批准只对本次、这一笔操作有效，不能复用。
真正写入
只有获得人的明确确认后，系统才执行写入。
回读核对
写入后重新查询，确认最终结果是否正确。
办事回执
记录谁批准、改了什么以及最终执行结果。
默认不直接写入
先演习并展示变更内容，把误操作拦截在真正写入之前。
一次批准对应一笔操作
批准状态不复用，避免一次点头被延伸到后续其他写入。
不清楚就停止
遇到歧义或结果不明确时不自动连续重试，等待人工判断。
先演习、你点头、再真改、再核对——责任边界始终清晰。
06 · 敏感信息与会话
敏感信息遵循"少出现、不落痕、用完即清"
密钥、令牌、初始密码和上传文件不仅需要加密保存，更要减少它们在日常沟通和业务回复中的暴露机会。
需要保护的对象
- 专用钥匙明文。
- OMS登录类令牌。
- 初始密码等敏感字段。
- 用户上传的业务文件。
统一保护原则
- 明文只显示一次，库中只保存不可逆指纹。
- 不把敏感信息放入聊天、邮件、截图、URL或代码仓库。
- 业务回复优先提供摘要，减少原始隐私字段的直接展示。
- 业务文件使用完成后按规则清理，断开连接即清空会话钥匙。
- 初始密码不写死在普通模板中。
保护原则：敏感信息少出现、不落痕、使用完成后及时清理。
密钥与会话形成完整安全回路
密钥生命周期
1
领取密钥明文只显示一次，系统将不可逆指纹入库。
2
日常调用每次调用都携带独立凭证并接受身份、权限与状态校验。
3
轮换或作废旧钥匙立即失效，不再允许继续使用。
密钥应足够长且随机；标识不匹配，或密钥处于作废、过期、停用状态时，系统直接拒绝。
会话收尾
1
开始连接建立一次独立的业务会话。
2
钥匙放入本次会话会话期间办理的事情都使用这一把钥匙。
3
断开连接一次连接只绑定一把钥匙，断开即进入清理流程。
4
清理会话状态钥匙和所有待批准状态全部清除，不残留在会话中。
07 · 落地路径
从只读开始，小步验证后再开放写入
推荐先验证账号、入口、密钥和查询结果，再将已通过验收的场景逐步扩展到批准式写入。
确定权限合适的账号
遵循最小权限原则，不必一开始就配置超级管理员。
收紧IP与入口
核对OMS IP白名单，并选定本地部署或远程服务。
领取专用钥匙
密钥明文只显示一次，妥善保存凭证及相关指纹信息。
先试查询场景
先运行1–2个查询场景，确认权限与返回结果正确。
再扩写入范围
验收后开放批准式写入；不再使用时及时轮换或作废密钥。
落地原则：从只读到可写，小步快跑、逐步验证；每一步都能确认边界，再进入下一步。