把数据库发成 MCP 服务，权限怎么管

让 agent 直接连生产数据库，多数团队卡在两件事：模型看不懂业务黑话，DBA 不敢给凭证。10 月下旬活跃更新的开源项目 DatI 给出的答案是把中间加一层网关：数据库留在后面，agent 拿到的是一个语义增强、带权限边界的 MCP 服务。以下是项目方口径，不是第三方实测。

一、项目方说明了什么

按项目方在仓库与配套文章里的说明，DatI（Data Intelligence）定位是连接 AI agent 与企业数据库的轻量语义网关，采用 Apache 2.0 许可开源，10 月更新到 0.8.x 版本。流程是三步：接入数据库、配置业务语义、启用内置工具或参数化 SQL 工具，然后发布基于流式 HTTP 的 MCP 服务，接进任意支持 MCP 的客户端。具体能力有几块值得记：数据库侧支持 MySQL、PostgreSQL、ClickHouse、Doris 等关系与列式引擎；语义层给表、列、枚举值配别名和业务术语，靠检索引擎做语义查找，让模型能「听懂」内部行话再找表；安全侧数据库凭证集中托管在服务端加密保管，终端用户只拿个人访问令牌，按用户做数据范围隔离，10 月中旬的提交还补全了库级（Schema 级）作用域的接口。工具侧内置元数据检索、表结构查看和受控 SQL 执行，管理员可以把执行限制在只读查询，或按需放开增删改；复杂场景用参数化 SQL 模板，模型只能填参数，模板里注入用户身份实现租户隔离。技术栈是 Java 后端加 Vue 前端，检索用 Elasticsearch。项目方给的典型场景是自然语言取数分析和轻量应用开发，仓库里还附了企业零售分析、家庭记账两个配置示例说明用法。

二、跟你有什么关系

数据团队：想开放取数又不想发数据库账号，网关模式值得评估，但要自己验证权限边界，尤其多租户场景。应用开发者：需要给轻量应用加「对话查数」能力时，比自写一套鉴权省事，MCP 标准接口也方便换客户端。管理层：凭证集中和个人令牌是审计友好设计，可作为采购评估项，但开源项目的长期维护投入要另做判断。

三、怎么用

1. 先在隔离环境跑官方提供的样例数据，验证语义配置的投入产出：业务术语要人维护，脏配置比没配置更误导。
2. 上线时默认只读。放开写操作前，先在参数化模板里固化业务规则，别让模型自由生成改数据的语句。
3. 权限按用户和库两级收口，问清自己团队的最小需求，别一上来全库开放。

四、三个别信的说法

上了网关就等于安全合规。 项目方说明的是能力，边界效果取决于配置。语义配置错了，模型照样查错表；模板写漏了，隔离照样失效。

语义层能自动搞定。 枚举字典和业务术语需要人配置和维护，这是持续成本，不是装完就有的红利。

它和成熟 ChatBI 是一类东西。 按项目方自己的对比，它偏网关形态、嵌入任意 MCP 客户端，不提供独立看板和指标体系，选型别混淆。

五、一句话结论

数据库 MCP 化的瓶颈不在连通，在语义配置和权限边界，网关只是把这两件事摆到了台面上。

信息来源

• DatI 开源仓库（项目方 README），2026-10 更新
• 项目作者介绍文章：语义数据库网关，2026-10

功能与价格以官方公告为准。本文写于 2026 年 10 月 26 日。