DeepSeek Harness MCP 连接失败：中文定位与验证
MCP 连接失败先分成服务器无法启动与服务器已启动但协议连接失败。记录第一条错误和当前配置，在独立终端验证所配服务器命令，再逐项核对工作目录、参数、环境和传输方式。暂时禁用失败行可帮助恢复最小 Profile，但只有服务器连接完成并能执行一个最小工具调用，才能判断问题已修复。
分享仅包含公开链接，不携带本地进度或私人配置。
先确认服务器与运行环境
读取所用 MCP 服务器自己的官方启动说明。检查可执行文件是否存在、参数是否正确、工作目录是否可访问，以及当前 DSH 启动环境是否能找到所需依赖。独立终端测试可定位启动问题，但不能证明 DSH 的 MCP 子进程收到了相同凭据。直接用同样的命令在独立终端启动，先找进程退出或缺少依赖的原因。
- Windows、WSL 和 Unix 路径不能混用。
- 远程服务器的地址与本地进程命令是不同连接方式。
- 保留退出码和第一条 stderr，不用重复安装来替代定位。
为 stdio 服务器显式传递所需凭据
核验版本的 stdio bridge 会清除父进程环境中名称包含 KEY、PASSWORD、SECRET 或 TOKEN 的变量。服务器需要的令牌应在 MCP entry.env 中显式映射；父终端可以读取令牌，不等于 MCP 子进程也收到了它。只检查变量名与配置来源是否存在，不打印令牌值。模型提供商密钥与 GitHub、数据库等 MCP 服务器凭据分别配置。
- Streamable HTTP 服务器按自身文档检查认证 header，不能照搬 stdio 环境映射。
- 在有效 Profile 中检查 env 映射；分享配置输出前检查并脱敏。
分开检查启动与协议连接
服务器进程没有立即退出，只能说明进程在运行。协议初始化、传输方式、地址或访问权限仍可能失败。按服务器文档核对当前使用的传输，先完成连接，再验证工具列表；不要把普通 stdout 文本当作协议连接成功的证明。
检查当前 Profile 的配置层
确认 MCP 行属于本次启动的 Profile，并检查 patch 是否覆盖了已有配置。先禁用错误行恢复最小会话，再只启用一个服务器。官方 CLI 参考说明 MCP 客户端可以供 patch 层使用，但默认没有启用服务器；安装客户端依赖不等于已配置服务器。
理解外部命令的执行边界
官方 CLI 参考明确，每个 MCP 服务器命令是 Agent 沙箱之外的可信执行代码。只启动来源和参数已检查的服务器，使用最小权限与独立测试数据；不要把“Agent 有沙箱”推断为外部 MCP 进程也被同一策略限制。
用工具调用验收并整理复现
连接后执行一条该服务器文档推荐的最小工具调用，确认结果符合预期，再恢复其他服务器。仍失败时记录 dsh、服务器版本、Profile、传输、启动方式和脱敏日志。公开地址、命令参数或日志前，检查是否包含令牌或私人路径。
常见问题
服务器进程还在运行，是否就代表 MCP 连接成功？
不代表。进程启动、协议初始化和实际工具调用是不同阶段；应检查连接结果并完成一个最小调用。
独立终端启动正常，为什么 DSH 中仍缺令牌？
stdio bridge 会清除名称包含 KEY、PASSWORD、SECRET 或 TOKEN 的父环境变量。将服务器要求的变量名在 MCP entry.env 中显式配置，并确认其值的来源可用。不要把模型 API key 当作所有 MCP 服务器的令牌。
安装 MCP 客户端后会自动出现工具吗？
不会据此自动出现。需要在实际 Profile 配置服务器并成功连接，再确认工具在当前应用或 Agent 中启用。
全部服务器同时出错，应该一起重配吗？
先回到最小 Profile，只启用一个服务器，确认启动、环境和配置层。逐个恢复能保留因果关系，避免多个失败互相遮蔽。
Agent 的沙箱会限制 MCP 服务器命令吗？
不能这样假设。官方参考把外部 MCP 服务器命令标成沙箱之外的可信执行代码，因此要单独检查来源、参数和权限。
官方资料
使用新版本前，打开以下固定版本或注明核验日期的资料。