MCP 與 Extensions：外部工具接入的兩條路

先玩再講。同一個外部能力「查天氣」，左邊走 MCP 橋，右邊走原生 Extension，兩條路同時接入。看三件事：工具名怎麼生成、伺服器斷綫時模型視角發生什麼、兩條路的能力面差多少。點「播放」自動走完，或用「單步」逐幀看。

先解釋名詞。MCP（Model Context Protocol）是一個開放協議：任何人寫一個工具伺服器，任何支持 MCP 的客戶端都能連上去用它的工具。DSH 的 dsh-mcp-client 插件就是這個協議的客戶端，一個插件實例連一個伺服器，stdio 子進程和 streamable-http 兩種傳輸都支持。連接成功後它做的事很直白：listTools() 拉一遍工具清單，把每個工具用公開名註冊進 ctx.tools，模型從此把它們當原生工具用。

命名是第一個設計點。每個 MCP 工具有兩個名字：原始名只在網綫上出現（tools/call 用它），模型看到的公開名是 mcp__伺服器名__原始名。這個格式與 Claude Code 和 Codex 一致，mcp-client 的 README 自己點了這一句。名字必須滿足 DeepSeek 函式名約定：最長 64 字符、只允許字母數字下劃綫連字符。要是替換字符或截斷改動了名字，就在尾部追加一個 12 位十六進制的 SHA-256 hash，保證兩個不同的工具身份絕不會摺疊成同一個名字。整個函式是 (serverName, rawName) 的純函式：連接順序、重新同步、別的伺服器，都改不了一個工具的名字。

export function publicToolName(serverName: string, rawName: string): string {
  const joined = `mcp__${serverName}__${rawName}`
  const normalized = joined.replace(INVALID_NAME_CHARS, '_')
  if (normalized === joined && normalized.length <= MAX_PUBLIC_NAME_LENGTH) return normalized
  const hash = createHash('sha256').update(`${serverName}\0${rawName}`).digest('hex').slice(0, HASH_LENGTH)
  return `${normalized.slice(0, MAX_PUBLIC_NAME_LENGTH - HASH_LENGTH - 1)}_${hash}`
}

第二個設計點是世代（generation）。伺服器的工具清單會變，變了就要重新同步。同步分兩階段：先把下一世代的全部工具定義拉完建好，任何一步失敗都不碰註冊表，上一世代原樣活着；拉完了才做交換，先註銷舊世代、再註冊新世代。

交換階段的寫法值得講一下。註冊循環裏，每註冊成功一個工具就把它的註銷函式存進一張表。任何一次註冊拋了衝突（意味着有外來註冊霸佔了這台伺服器的命名空間），catch 分支就把這張表裏已註冊的全部註銷，一個工具都不留，然後記一條 error 日誌。註釋把意圖寫得很直白：回滾是為了讓模型看到的要麼是完整的一個世代，要麼什麼都沒有，絕不能是半套。

出處：packages/mcp/mcp-client/src/tools.ts 第 159 至 172 行的註冊與回滾分支，核對日期 2026-08-13。

斷綫重連也建在世代上。stdio 子進程崩了，supervisor 用指數退避重啓它：首次延遲預設 500 毫秒，逐次翻倍，上限 30 秒，一次中斷最多試 10 次（README.zh.md 配置表）。中斷期間最後一個正常世代保持註冊，模型這時調用會失敗，但工具名不會憑空消失；重連成功後重新發現，恢復的世代整體替換舊世代，工具既不重複也不泄漏。serverName 沒變的話，新世代的名字逐字相同，KV cache 前綴都保得住。預算也有講究：連接存活超過 30 秒就重置嘗試預算，所以偶爾崩一次的伺服器可以無限恢復，反覆崩潰循環的伺服器最終會耗盡預算被註銷，不會永遠重啓下去。

最後一個設計點最容易被忽略：這座橋刻意只橋了 MCP 的 tools 能力。MCP 協議裏還有 resources（資源）和 prompts（提示詞模板）兩類能力，DSH 一概沒接。README 的「已知限制與暫緩事項」一節寫得很坦白：

邏輯不難還原：harness 內部沒有誰會消費一個外部 resource 或外部 prompt，先造橋墩沒有意義。工具有明確的消費方（agent loop 的工具調用），所以先橋工具。這屬於按需造橋。圖片、音頻這類非文本結果也做了有損投影，在模型上下文裏變成佔位符，二進制載荷不進上下文。

第二條路完全不同。Cordis 是 DSH 的插件框架，整個 harness 就是一棵 Cordis 插件樹。Extensions 子系統讓模型在會話裏現寫一個 Cordis 插件、當場跑起來：寫程式碼前先用 cordis_inspect 查詢當前運行時裏有哪些服務和接口可用，然後 cordis_define 提交源碼，cordis_run 啓動，不要了就 cordis_stop 或 cordis_undefine。這五個工具由 packages/extensions/tool-cordis 註冊。

一個動態插件分兩半。Host 半在 Node 側的 node:vm 沙箱裏跑邏輯，Browser 半在頁面裏渲染 UI，兩半的生命週期由 ctx.dynamicCordisRunner（packages/extensions/cordis-host-runner/src/index.ts 第 124 行起）統一管。帶 Browser 半的啓動要走審批：cordis/request-run 事件把請求送到頁面，用戶點了允許才繼續，還可以勾選一併放行這個插件的後續版本（runHostHalf 的 approveFutureVersions 參數）。每個 Package 版本不可變，改程式碼就是追加新版本。

把兩條路放一起看，它們是正交的，各管一頭。MCP 橋面對的是進程外的現成能力，信任模型是隔離：伺服器崩了、返回垃圾、斷綫，都被世代和錯誤路徑擋在橋外，但它能給模型的只有工具這一種東西。Extension 面對的是模型現場生成的程式碼，跑在自己進程裏，能力面大得多：能加工具、能發事件、能註冊服務、能畫介面，代價是每次運行都在審批和沙箱的看管之下。一個是接外面的電，一個是自己發電。