开发者希望允许改项目文件，但默认进程也能访问用户目录。 重点需要在“符号链接、相对路径和大小写差异都可能绕过简单前缀判断。”这一约束下形成可验证方案。
问题正文
开发者希望允许改项目文件，但默认进程也能访问用户目录。
符号链接、相对路径和大小写差异都可能绕过简单前缀判断。
得到规范化路径、根目录沙箱和测试用例。
希望回答能说明推荐方案、关键取舍、失败模式和验证步骤。如果存在多个适用边界，请给出决策条件，而不是只列工具名称。
ANSWERS
回答内容
针对“文件系统 MCP 怎样限制路径，才能防止 Agent 读取仓库外的隐私文件？”，推荐先把目标、风险边界和可验证证据写成契约，再逐步扩大自动化范围。把 MCP Server 视为带权限的远程依赖，连接成功不等于工具语义、安全边界或版本兼容已经成立。
1）建立基线：固定 Server 身份、工具 Schema、权限范围和数据去向。2）控制执行：按工具级最小权限授权并隔离不可信返回内容。3）处理失败：使用关联 ID、结构化错误和 Retry-After 传播恢复语义。4）形成闭环：通过金丝雀客户端、弃用遥测和一键回滚发布版本。当前场景是“开发者希望允许改项目文件，但默认进程也能访问用户目录。”，因此应先做小流量或只读演练，再进入真实写入。
得到规范化路径、根目录沙箱和测试用例。。至少记录成功率、失败类型、人工接管率、P95 延迟和单位任务成本；对第 23 号方案建立固定回归样例，发布前后使用相同输入对比。
约束是“符号链接、相对路径和大小写差异都可能绕过简单前缀判断。”。不要用单一总分或一次演示代替分层验证，也不要把超时当成失败后直接重放；任何外部副作用都必须具备幂等键、状态查询或补偿动作。
