一個(gè)被官方蓋章"死亡"的AI工具，每周仍有2.1萬次下載。更荒誕的是，它承諾的"只讀保護(hù)"像一扇上鎖的玻璃門——看起來安全，一推就碎。

這是Anthropic的PostgreSQL MCP服務(wù)器（Model Context Protocol，模型上下文協(xié)議），AI agent連接數(shù)據(jù)庫的官方參考實(shí)現(xiàn)。今年5月歸檔，7月正式棄用，npm和Docker Hub上的棄用標(biāo)記像墓碑一樣醒目。但數(shù)字不會(huì)撒謊：截至評(píng)測(cè)時(shí)，它每周仍從npm拉取約21,000次，Docker Hub約1,000次。

這些下載者里，有多少知道他們裝的是個(gè)有SQL注入漏洞、且永遠(yuǎn)不會(huì)修復(fù)的軟件？

「只讀」是個(gè)謊言

服務(wù)器的核心賣點(diǎn)是只讀訪問。AI agent可以查看表結(jié)構(gòu)、運(yùn)行SELECT查詢，但無法修改數(shù)據(jù)。Anthropic在代碼里確實(shí)做了防護(hù)：每個(gè)查詢都被包裹在BEGIN TRANSACTION READ ONLY和ROLLBACK之間。

問題出在Node.js的postgres客戶端。它允許在單次client.query()調(diào)用中提交多條用分號(hào)分隔的SQL語句。攻擊者可以在SELECT后面追加一個(gè)分號(hào)，再跟一條COMMIT——或者更直接的，用堆疊查詢（stacked query）把事務(wù)模式改成READ WRITE。

換句話說，那個(gè)"只讀"標(biāo)簽是安慰劑。它讓開發(fā)者誤以為風(fēng)險(xiǎn)可控，實(shí)際上大門敞開。

諷刺的是，同期被歸檔的SQLite MCP服務(wù)器至少誠實(shí)——它干脆沒有安全護(hù)欄，用戶知道自己暴露在危險(xiǎn)中。PostgreSQL服務(wù)器則提供了"虛假的確定性"，這種設(shè)計(jì)比裸奔更危險(xiǎn)。

極簡(jiǎn)主義的代價(jià)

這個(gè)服務(wù)器精簡(jiǎn)到近乎吝嗇。它只暴露1個(gè)工具和1種資源類型：query工具（執(zhí)行SQL）和schema資源（查看表結(jié)構(gòu)）。對(duì)比SQLite服務(wù)器的6個(gè)工具、社區(qū)替代方案的8個(gè)以上，這是評(píng)測(cè)過的最簡(jiǎn)數(shù)據(jù)庫MCP實(shí)現(xiàn)。

配置同樣極簡(jiǎn)。Claude Desktop用戶只需一行npx命令：

{
"mcpServers": {
"postgres": {
"command": "npx",
"args": ["-y", "@modelcontextprotocol/server-postgres", "postgresql://localhost/mydb"]
}
}
}

Docker版本同樣簡(jiǎn)單，把localhost換成host.docker.internal就能在macOS上跑。沒有配置標(biāo)志，沒有環(huán)境變量，連接字符串里的憑據(jù)就是全部安全邊界。

這種極簡(jiǎn)主義在Demo場(chǎng)景里很迷人：一行命令，agent立刻能查你的數(shù)據(jù)庫。但生產(chǎn)環(huán)境？沒有schema白名單，沒有表級(jí)權(quán)限，沒有操作審計(jì)。連接字符串能訪問什么，agent就能碰什么——包括那些你以為被"只讀"保護(hù)擋住的寫操作。

歸檔之后，無人收尸

5月歸檔，7月棄用，沒有CVE編號(hào)，沒有安全補(bǔ)丁。parent倉庫modelcontextprotocol/servers有81,600星，但這個(gè)子項(xiàng)目像被踢出群聊的成員，靜靜躺在存檔區(qū)。

npm的棄用標(biāo)記在install時(shí)只會(huì)顯示一行小字警告。Docker Hub的標(biāo)記更隱蔽。大多數(shù)開發(fā)者不會(huì)注意到，或者注意到了也以為只是"不再更新"而非"有已知漏洞"。

社區(qū)替代方案已經(jīng)涌現(xiàn)。一些實(shí)現(xiàn)了真正的查詢白名單，用AST解析而非字符串匹配；一些支持行級(jí)安全策略（RLS）集成；還有的直接放棄通用SQL接口，只暴露預(yù)定義的只讀視圖。但它們都需要更多配置，不像官方工具那樣"一行命令開箱即用"。

便利性和安全性之間的張力，在這里被拉到極致。

MCP生態(tài)的縮影

PostgreSQL服務(wù)器和SQLite服務(wù)器像一對(duì)鏡像：前者有護(hù)欄但護(hù)欄是假的，后者沒護(hù)欄但至少不騙人。它們共同指向同一個(gè)問題——MCP作為AI agent與外部系統(tǒng)交互的協(xié)議，其參考實(shí)現(xiàn)的安全成熟度遠(yuǎn)低于市場(chǎng)預(yù)期。

81,600星的parent倉庫是Anthropic在AI基礎(chǔ)設(shè)施領(lǐng)域影響力的證明。但star數(shù)不等于代碼質(zhì)量，官方標(biāo)簽不等于生產(chǎn)就緒。當(dāng)開發(fā)者把"Anthropic官方"等同于"可以信任"時(shí)，風(fēng)險(xiǎn)就已經(jīng)產(chǎn)生了。

那個(gè)每周2.1萬的下載數(shù)字還在跳動(dòng)。它可能是CI管道的緩存，可能是教程文章的復(fù)制粘貼，也可能是某個(gè)工程師今天剛接手的"快速原型"。他們中的大多數(shù)不會(huì)讀到這篇評(píng)測(cè)，不會(huì)知道那個(gè)看似無害的只讀承諾背后藏著什么。

如果你正在使用這個(gè)服務(wù)器，或者曾在某個(gè)項(xiàng)目里用過——你當(dāng)時(shí)有沒有驗(yàn)證過那個(gè)"只讀"限制？還是像大多數(shù)人一樣，看了文檔就信了？