让 AI Agent 直接连接数据库，听起来效率很高：它可以帮你查订单、看报表、排查异常、回答运营问题。但数据库不是普通文件，一旦权限给得太大，AI 的一次误判就可能变成误删、误改、泄露敏感数据，甚至影响生产业务。
所以，MCP 数据库连接的第一原则不是“能不能连上”，而是“只能安全地查”。这篇文章聚焦 MCP 数据库只读连接，适合放在 AI智能体与自动化专题 和 AI编程工具专题 下理解，也可以和 MCP权限怎么设置、MCP工具调用日志怎么做 配合使用。
先判断：这个场景真的需要连数据库吗？
不是所有数据问题都需要 AI Agent 直连数据库。很多团队只是想让 AI 读一份日报、整理一张表、回答几个固定指标，这种场景用导出的 CSV、只读报表、数据接口或定时快照就够了。只有当问题经常变化、查询条件需要临时组合、人工反复写 SQL 成本很高时，才值得考虑 MCP 数据库连接。
可以先问三个问题：
- AI 需要查的是固定指标，还是经常变化的临时问题？
- 数据是否包含手机号、客户名单、财务、合同、员工信息等敏感字段？
- 查询结果是给内部分析，还是会直接进入客户回复、自动通知或业务决策？
如果答案偏敏感、偏自动决策，就不要一开始追求全自动。先做只读、限表、限字段、限结果行数，再逐步放开。
第一步：单独建只读账号，不要复用管理员账号
最基础的安全动作，是给 MCP 单独创建数据库账号。这个账号只服务 AI Agent 查询，不和后台管理员、开发人员、本地调试脚本混用。权限上只给 SELECT，不给 INSERT、UPDATE、DELETE、DROP、ALTER，也不要给创建索引、创建函数、执行存储过程等额外能力。
如果数据库支持按库、表、视图授权，建议优先授权视图，而不是直接暴露原始业务表。比如可以准备一张只包含必要字段的订单查询视图，隐藏手机号、地址、备注、成本价等字段。AI 需要回答“本周销售趋势”，并不等于它需要看到每一条完整订单记录。
这个思路和 Codex CLI 权限怎么设置 类似：给 AI 工具的能力越接近真实生产，就越要把权限边界写死，而不是只靠提示词提醒。
第二步：限制库、表、字段和查询复杂度
只读账号只能防止写入，不能自动防止数据泄露和高成本查询。实际配置时，还要加四层边界：
- 库边界：只允许访问分析库、只读副本或脱敏库，不直接连生产主库。
- 表边界：只开放当前任务需要的表或视图，不把所有业务表都丢给 AI。
- 字段边界：敏感字段先在视图层剔除或脱敏，减少模型看到原始隐私数据的机会。
- 查询边界：限制单次返回行数、查询超时时间、可访问时间范围和高风险 SQL 关键词。
很多事故不是因为 AI 有写权限，而是因为它一次查了太多数据，或者把不该出现在回答里的字段带出来。只读不等于无风险，最小必要数据仍然是核心原则。
第三步：让 AI 先解释查询意图，再执行 SQL
给 AI Agent 查数据库，不建议直接让它“想到什么 SQL 就执行什么 SQL”。更稳的流程是两步走：先让 AI 说明它要查什么、用哪些表、过滤条件是什么、预计返回什么结果；再由工具执行 SQL，并把结果交回 AI 总结。
对于关键查询，可以要求 AI 输出一个简短查询说明：
- 业务问题：本次要回答什么？
- 数据范围：用哪些表、哪些字段、哪个时间段？
- 安全检查：是否避开敏感字段？是否有结果行数限制？
- 输出方式：返回明细、汇总指标，还是只输出趋势判断？
这一步看似多花时间，但能显著降低误查和误用结果的概率。尤其是要把结果发到飞书、邮件或客户文档时，更要在执行前留下意图记录。
第四步：所有查询都要有日志
MCP 数据库连接如果没有日志，后面出了问题很难复盘。至少要记录这些内容：发起时间、任务来源、使用的账号、SQL 原文、参数、查询耗时、返回行数、是否触发人工复核、最终输出摘要。
日志不是为了追责，而是为了长期优化。你可以通过日志发现哪些问题反复被问、哪些表经常被查、哪些 SQL 容易超时、哪些字段应该做成更稳定的视图。站内 MCP工具调用日志 已经讲过 Agent 工具调用的可追踪思路，数据库场景更应该严格执行。
第五步：关键结果加人工复核
只读连接解决的是“不要改坏数据库”，但不解决“AI 总结是否正确”。如果查询结果会影响报价、库存、客户回复、财务判断或管理决策，建议加人工复核节点。复核人不一定要重写 SQL，但至少要看三件事：
- 查询范围是否符合问题，比如时间、门店、渠道、状态有没有漏掉。
- 结果是否明显异常，比如数量级不合理、空值过多、口径和历史报表不一致。
- AI 的文字结论是否过度推断，有没有把相关关系写成确定原因。
这和 AI编程安全检查 是同一类问题：AI 可以加速操作，但高风险结论仍然需要人确认。
推荐的最小配置清单
如果你准备第一次给 AI Agent 接数据库，可以按下面这个最小清单落地：
- 使用只读副本或分析库，不直接连接生产主库。
- 创建独立 MCP 只读账号，只授权必要库表或视图。
- 优先开放脱敏视图，隐藏个人信息、财务敏感字段和内部备注。
- 限制单次查询行数、超时时间和默认时间范围。
- 让 AI 执行前说明查询意图，执行后输出数据口径。
- 记录 SQL、参数、耗时、返回行数和最终摘要。
- 涉及客户、财务、生产运营的结果必须人工复核。
- 定期复盘日志，把高频查询固化成视图、报表或安全接口。
如果你还在选 MCP 服务器类型，可以先看 MCP服务器怎么选。数据库连接属于高风险工具，不建议把它当成第一个 MCP 练手项目。
老达点评
MCP 的价值在于让 AI Agent 能接近真实工具和真实数据，但越接近真实业务，越不能只靠“相信模型”。数据库只读连接应该被当成一套小型权限系统来设计：账号独立、范围有限、过程留痕、结果复核。做到这些以后，AI 查数据才会从“刺激的演示”变成“可长期使用的工作流”。
总结
MCP 数据库只读连接不是简单填一个连接串，而是要先决定能查什么、不能查什么、查完怎么记录、什么时候必须人工确认。对小团队来说，最稳的起步方式是只读副本、脱敏视图、限制返回、全量日志和关键结论复核。这样既能发挥 AI Agent 的数据查询效率，也能把误操作和数据泄露风险压到可控范围内。
