AWS API MCP Server的denyList和elicitList怎么写

AWS API MCP Server的denyList和elicitList怎么写？自定义策略使用version与policy两个顶层字段，在policy下分别提供禁止操作的denyList和要求确认的elicitList；条目采用完整的AWS CLI服务与操作格式，例如aws iam delete-user，而不是IAM动作名或通配符。使用这一机制还必须考虑CVE-2026-125271：本地awslabs.aws-api-mcp-server 0.2.13及以上、1.5.1之前的版本存在操作名规范化缺陷，正确写出的条目也可能不生效，1.5.1已修复。

两个清单表达不同的约束

denyList用于完全阻止所列命令，elicitList用于在执行所列命令前征求明确同意。后者依赖支持elicitation的MCP客户端；它表达的是交互确认要求，不能仅凭配置文件存在就认定实际客户端一定能够完成这个流程。

服务器查找的自定义策略文件位置为~/.aws/aws-api-mcp/mcp-security-policy.json。下面给出完整JSON示例：禁止删除IAM用户，对停止EC2实例要求确认。它是策略数据，不是要求在终端运行删除用户或停止实例的AWS命令；也不是覆盖所有危险操作的完整组织策略。

{
  "version": "1.0",
  "policy": {
    "denyList": [
      "aws iam delete-user"
    ],
    "elicitList": [
      "aws ec2 stop-instances"
    ]
  }
}

应得到的含义是：命中第一项的操作被禁止，命中第二项的操作需要客户端确认。这里给出的是文档定义的预期语义，不是已在某个账户上执行的测试结果。实际策略应由组织结合业务权限确定，并建立在包含修复的服务器版本上。

写CLI命令格式，不写IAM策略动作格式

条目的基本形状是aws、服务名、操作名三部分。服务名采用AWS CLI中的名称，例如iam、ec2、s3api、lambda；操作名采用kebab-case。策略比较的是这种操作标识，不应把具体资源参数拼进条目，也不能把另一套权限语法直接放进来。

例如，aws iam delete-user是文档列出的正确形式；IAM策略中的动作表达与这里的字符串不是同一种配置。当前实现仅支持精确字符串匹配，不支持iam:delete-*或organizations:*等通配模式。希望限制多项操作，就需要明确列出每一项，而不是期待一条带星号的字符串自动覆盖一组操作。

格式正确还不等于旧版匹配逻辑正确

CVE-2026-125271的关键在于操作名进入策略比较之前的规范化过程。对于名称含连续大写字母的操作，受影响版本可能错误处理名称，使本来正确的denyList或elicitList条目无法命中。因此，不能把“改成kebab-case”宣称为该漏洞的完整修复，也不能把提示词约束当成补丁。

受影响范围为大于等于0.2.13且小于1.5.1，包括1.5.0。公告要求本地运行服务器、配置涉及受影响操作的自定义策略，并存在用户与AI助手交互。官方建议升级至最新版本，修复版本为1.5.1；分叉或衍生代码同样需要纳入修复，不能只依赖上游已经发布补丁这一事实。

自定义策略没有取代IAM和通用安全设置

IAM权限仍是主要安全控制，自定义策略提供额外保护，不能覆盖或解除IAM限制。一个操作是否最终能访问资源，与本地策略是否拦截或询问，是相关但不同的判断。合理配置自定义清单，也不等于应该给运行凭证无限制权限。

公告明确远程AWS API MCP Server服务不受影响，READ_OPERATIONS_ONLY和REQUIRE_MUTATION_CONSENT两项设置也不受影响。只读限制、非只读变更确认和特定操作清单各有范围，不能将它们视为同一个开关；更不能从某项例外不受影响，推断旧版清单匹配机制已经可靠。

配置维护应对应真实运行来源

文档支持uv、Python环境、容器及源码等运行方式，配置文件与包版本应对应客户端实际启动的服务器。只更新另一份虚拟环境或另一份镜像，不会让正在使用的实例自动继承补丁。公告没有提供升级以外的workaround，潜在后果示例也不需要转成生产环境的破坏性验证动作。

当前服务器文档另提供迁往官方AWS MCP server的方向。迁移可以另行评估，但不能替代对仍在运行的本地旧实例进行修补。对于自定义策略，先分清文件格式、精确匹配、客户端确认能力与修复版本这四项，才能准确理解一份JSON实际能提供的约束。