别再把 MCP 服务器裸跑在本机上

本机编码智能体一装，MCP 服务器常常直接起在用户会话里：密钥在环境变量，文件系统和网络权限靠自觉。出问题才发现它读了不该读的目录。ToolHive 把这件事收成一套可托管的平台：每个服务器进隔离容器，前面再加代理、策略和审计。仓库在 GitHub 公开，许可证 Apache-2.0。本轮核到两千二百六十一星、三百一十六次派生，创建于 2025-03-12，最近推送 2026-10-09，主分支四千四百四十八次提交。发行页写最新是 v0.51.4。命令行工具名是 thv。

文档把它拆成三层。网关管策略、身份和虚拟 MCP，把多家后端合成一张脸。注册表只管发现：内置目录、文件或远程目录、集群自定义资源，不跑流量。运行时在本机用容器引擎，或在集群里用控制器加代理进程。传输支持标准输入输出、服务器推送事件和可流式超文本。标准输入输出走协议感知代理，另外两种走透明超文本代理。默认网络是隔离网桥，改成主机网络就等于丢掉隔离。

先装命令行，再按注册表起服务

苹果系统和 Linux 可以先加源再装：

brew tap stacklok/tap
brew install thv
thv version

Windows 用 winget install stacklok.thv。也可以从发行页下对应平台的归档，Unix 上 sudo install -m 0755 thv /usr/local/bin/。从源码装需要 Go 1.24 及以上，然后 go install ./cmd/thv 或 task install。升级用 brew upgrade thv。Windows 升级前要先 thv stop --all。

注册表里有名字就能起：

thv run filesystem
thv run fetch
thv run github -- --toolsets repos

远程服务走代理，例如 thv run notion-remote 或 thv run stripe。没写凭证时会按动态客户端注册去要令牌。也可以直接跑镜像、协议包或配置文件：thv run ghcr.io/github/github-mcp-server，thv run uvx://mcp-server-git，thv run npx://@modelcontextprotocol/server-everything，thv run go://github.com/grafana/mcp-grafana/cmd/mcp-grafana@latest，或 thv run --from-config ./fetch-config.json。分组是 thv group create my-group 再 thv run --group my-group fetch。从 0.6.0 起，标准输入输出默认被代理成可流式超文本，旧客户端才需要 --proxy-mode sse。

工作负载有启动、停止、重启、更新和删除。权限档是可携带的 JSON 或 YAML，写清读写和网络。密钥可走加密库、密码管理器、环境变量或系统钥匙串。中间件栈有八层，顺序是后进先出，包括授权、审计和过滤。观测可接开放遥测和普罗米修斯。项目 README 写，语义工具搜索最多可少用 85% token，这是官方口径，不是本轮复现。

集群、虚拟 MCP，以及它不替你做的事

集群侧是一对进程：控制器对自定义资源做调和，舱里的代理进程再拉容器并转发。会话缓存在舱内大约一千条、最近最少使用淘汰，也可以改到远程缓存并带过期。虚拟 MCP 把多家后端合成一个入口，合并能力，冲突按策略处理。技能包和插件会做归档、服务端请求伪造和供应链检查。文档写，身份联邦配置在校验还没落地前是失败关闭。实验性出口还可以再挂一层反向代理。

同一家公司还有另一套开源循环，走本机到集群的同一套智能体回路，许可证同样是阿帕奇协议。本轮核到二百五十一星，适合当对照，不应当成 ToolHive 的安装依赖。ToolHive 管的是 MCP 服务器怎么被隔离和暴露，不是模型怎么想下一步。

它不是给个人演示用的一键玩具。默认未加固的本机守护进程不该直接暴露到公网。先把文件系统和抓取类服务器放进隔离网桥，再谈把令牌和目录挂进去。客户端这边可以接常见的编码智能体和编辑器，具体清单以官方文档为准。先让 thv run filesystem 在隔离里跑通，再复制一套权限档到生产分组。

中间件按文档是八层处理器叠在一起，后进先出。授权、审计、过滤都在这一段，不是等容器起来再补。权限档和运行配置是一份可携带合同：读、写、网络、挂载都写在 JSON 或 YAML 里，本机和集群用同一份。密钥有加密库、密码管理器、环境变量、系统钥匙串和回退链。把令牌写进容器环境变量之前，先看这份合同允许什么出站。

虚拟 MCP 不是再起一个聊天模型，而是把多家后端合成一个入口。能力合并时会碰到重名工具，冲突按策略处理，还可以做组合工具。会话缓存在舱内大约一千条、最近最少使用淘汰；要跨舱就改到远程缓存并带过期。身份校验还没落地时，文档写联邦配置是失败关闭，不要指望先开再补。技能包和插件会做归档检查、服务端请求伪造检查和供应链检查，这和“把任意脚本当 MCP 服务器跑”不是一回事。

发行页本轮看到的最新标签是 v0.51.4，日期写成 9 月 27 日。以发行页为准，安装后先跑 thv version 对一下。桌面界面和集群控制器是另一条入口，本篇只把命令行这条线钉死：先隔离，再挂目录，再谈把远程令牌接进来。