MCP 包版本要钉死

安装片段常写成 npx -y pkg，拿的是当天 latest，明天可能已是另一个大版本。

连上并完成一次只读调用后，记下所用精确版本。写成 pkg@1.2.3，或在自己的包装脚本里锁版本。

共享的 mcp.json 不要提交浮动标签。下周同事装到的二进制应和你审过的一致。

客户端重启后服务器坏了，先看包是不是自己变了，再改配置。对照怎么评估一条 MCP。