权限范围

当你把 Engram 添加为 MCP 连接器时，客户端会收到一个 OAuth 访问令牌。 令牌带有一个权限范围（scope），决定客户端可以对你的知识库做什么。

令牌目前授予什么

Engram 的 MCP 端点目前只提供一个整体的权限范围：mcp。

具有 mcp 权限的令牌，授予客户端完整的 MCP 功能：读取笔记、语义搜索、创建笔记、编辑文件夹、上传文件。权限不按操作细分，但仅限于您在连接时在授权页面选择的仓库。您可以选择特定仓库，也可以选择所有仓库（包括以后创建的仓库）。

计划推出细粒度权限范围

把 mcp 拆分成按操作划分的权限范围（notes:read、notes:search、 notes:write、notes:delete、folders:write、metadata:read）已列入路线图。 推出之后，连接器流程将允许你只授予代理所需的最小权限 （例如”可读取和搜索，但绝不写入”），而不是像现在这样要么全给、要么全不给。

如果你现在就在意细粒度权限，变通办法是： 不要连接你不信任其写入知识库的代理。目前协议层面没有办法在授权签发之后 对其加以限制。

审计与撤销访问

在 Engram 应用的 设置 → 连接 中，列出所有已激活的 OAuth 连接和 API 密钥。点击 撤销 即可取消一个：

• 撤销的API密钥立即失效。
• 撤销的 OAuth 连接无法重新授权，其访问令牌将在 15 分钟后过期。

权限范围语法（面向 SDK 开发者）

端点通过 /.well-known/oauth-authorization-server 公布其支持的权限范围。 SDK 开发者应读取这份元数据，而不是把权限范围字符串写死， 因为细粒度拆分会最先体现在那里。