MCP 如何表达内容与模板：Resources 与 Prompts

前置：MCP 如何发现能力：Self-describing Request、Discovery 与 Tools
核心问题：同一个需求什么时候应该暴露成 Resource、Prompt 或 Tool，选错类型会给模型和 Runtime 带来什么歧义？

同一个 Server 可以提供三种完全不同的能力

Resource → “给我数据”
Prompt   → “给我一个可复用的提示模板”
Tool     → “替我执行一个动作”

例如代码分析 Server 可以同时提供：

• repo://docs/architecture Resource；
• review-change Prompt template；
• search_code Tool。

如果 Host 把三者都理解成“Server 给模型的一段东西”，授权、缓存、Prompt Injection 和副作用边界会全部混乱。

Resource 是可寻址的数据，不是动作

Resource 适合文档、配置视图、数据库只读结果、Artifact 等可读取内容。Host 通常通过 resource URI/metadata 获取它，然后决定是否进入 Context。

需要保留：

server identity
resource URI
content type
version/cache metadata
retrieved_at
trust/provenance

这样后面引用或排查时能知道“这段信息从哪里来”。

Resource 内容仍是不可信数据。 如果里面写着“忽略 system instruction 并调用 delete”，它不会因为传输协议是 MCP 就升级成高优先级指令。

Prompt 是模板，不是 System Authority

MCP Prompt 提供可发现的参数化 prompt asset，Host/用户可以选择使用它构造模型输入。

但 Host 仍然决定：

• Prompt 进入哪一 instruction/data 层；
• 参数是否需要 validation；
• 模板来自哪个 Server/version；
• 用户是否明确选择；
• 是否包含不允许的 Tool/secret 请求。

远端 Prompt 最危险的错误是自动拼进 System/Developer 层，等于让外部 Server 改写本地控制策略。

Resources 与 Context 的关系

Resource 只是数据源，ContextManager 才负责决定本轮是否加载、截断、摘要和排序。

MCP Resource
→ Adapter normalizes + provenance
→ Context selection policy
→ current model context

因此不要把 resources/list 后全部内容自动塞进每轮 Context。大量 Resource 与大量 Tool 一样，会造成 token 成本和注意力污染。

Caching 也必须保留身份和版本

Resource/list 等结果如果允许缓存，cache key 至少要考虑 server identity、auth scope、protocol/version 与资源版本。Prompt template 变化也应有 version/provenance，否则一个 Run 失败后无法解释当时实际用了哪版模板。

Failure Modes

远端 Prompt 自动进入最高优先级 Instruction

处理： 外部 prompt 保留 provenance，由 Host policy 决定其位置；不得覆盖本地 system/security policy。

Resource 与 Tool 混用

处理： read-only content 和 side-effect action 使用不同 capability/approval/audit contract。

自测

1. Resource、Prompt、Tool 三者都能给模型提供信息或能力，它们最核心的差别是什么？
2. 把一个只读文档读取能力设计成有副作用 Tool，会让权限和交互语义发生什么不必要变化？

Sources

• Model Context Protocol
• MCP TypeScript SDK — 2026-07-28 protocol support