你跑的 MCP 服务，可能一碰就崩！一条请求就能打瘫服务器？MCP 全生态 SDK 集体中招，半个生态每月下载近 5 亿次

大白话MCP 是现在很多 AI 助手接工具、接数据的通用协议。有开发者写文复盘：MCP 服务器收请求时，会先把整个请求体读进内存，但读取循环没有大小上限，也不先验身份。结果攻击者只要发一个超大 POST，或者一条慢慢吐的无限流，就能把服务器内存吃满直接崩掉。他 4 月先在一个 TypeScript 框架里报了这个漏洞，之后半年里，同样的毛病在 Go、Ruby、PHP、Rust、Python、Java、TypeScript 等至少 9 个项目里被陆续发现并修复。

对你意味着如果你在用 MCP 搭 AI 工具链，或者公司内部跑着 MCP 服务，这条值得看一眼：修法几乎都是加一个默认 4 MiB 的请求体上限，升级到修复版本就行。