DEV Community · Show DEV8/15 15:1863 分
MCP新增原生应用平台，默认CSP阻止一切
MCP Just Got a Native App Platform — Its Default CSP Blocks Everything
MCP Apps是首个直接纳入Model Context Protocol稳定核心规范的官方扩展，允许工具声明交互式HTML UI（ui://资源），由宿主在沙箱iframe中渲染。开发者需注意三点：mimeType必须为text/html;profile=mcp-app，否则无法交互；CSP默认完全阻止所有域，需显式列出connectDomains等；宿主与iframe间通过postMessage手工构建JSON-RPC，无客户端库，错误消息会被静默丢弃。作者因此构建了一个免费浏览器端验证器，用于检查_meta.ui块、resources/read响应或ui/*消息是否符合规范，所有检查均追溯至规范原文。