MCP 服务端 SDK：升级不够，还要设输入上限
GitHub 安全公告称：@modelcontextprotocol/sdk 1.3.0～1.31.0、server 2.0.0～2.2.0 对单次请求里的数组元素和对象键不设上限，一个 4 MiB 以内的请求就可能把 Node 进程内存耗尽。修复版新增的上限选项默认关闭。
github.com/advisories原始发布
为什么值得留
对外暴露 HTTP MCP 服务的人，能按公告的两步把这个口子堵上，而不是以为升级就完事。
可以从这里开始
升级后给 McpServer 设 maxToolInputElements，再把传输层的 maxRequestBodySize 调到工具实际需要的大小。
阅读时留意
只涉及 TypeScript SDK 的 HTTP 服务端，stdio 不受影响；10_000 只是公告示例值，合适的上限要按自己工具的输入算。
OnBalls 导读整理于 2026.10.23。只读收件箱保存的公告节选（含版本与两步修复）；未打开公告页、未测试。