本文报告了一种面向 Model Context Protocol (MCP) 的企业级网关认证架构。MCP 已成为将 LLM 代理连接到企业工具的事实标准接口，但其快速采用带来了治理危机：大型组织在一年内从零部署到数十个内部 MCP 服务器，而每个团队独立实现认证方式，有的无认证，有的使用 API key，有的实现完整 OAuth，导致认证体系碎片化，无法统一授权调用者、追踪用户操作或对离职员工进行跨系统账号回收。为应对这一挑战，作者提出了一个集中式 MCP 网关，作为所有下游 MCP 服务器的统一聚合、治理和认证层。论文基于生产环境经验贡献了四个核心内容：第一，一个双轴认证模型，将角色（交互式用户 vs. 自动化非用户）与凭证类型（无认证、静态/动态 API key、PKCE、客户端凭证、平台应用上下文）进行交叉组合；第二，一个网关认证层，支持三种企业单点登录授权类型和三种令牌供应模式：自带令牌（BYOT）、生成令牌（GYOT）以及通过 RFC 8693 令牌交换的委托 OAuth；第三，三个端到端身份流——用户到 OAuth2、非用户到服务账号、用户到服务账号——组合了客户端、网关和服务器；第四，部署演进路径，从 CDN/WAF/边缘边界到私有 MCP 隧道和企业级连接器。该架构已在生产环境中运行，覆盖 Web、桌面、自定义 SDK 和低代码客户端等数十个 MCP 服务器。本文对负责 MCP 安全架构设计、企业身份治理和 LLM 代理安全集成的研究者与安全工程师具有重要参考价值。

第三方LLM网关作为应用与外部LLM提供商之间的关键基础设施层，其功能远超简单的流量转发：它决定调用哪个提供商和模型、是否发生回退、交付哪个流、以及如何计费。由于这些决策和记录在运营商控制的服务内部生成，客户端无法独立区分诚实的中介与路由替换、隐藏回退、流篡改或伪造的溯源记录。本文提出了一种证据绑定的LLM网关架构，将运营商控制平面与受证明的执行平面分离。网关内部的受度量证明运行时（AGR）是唯一允许解密请求、执行路径策略、构造上游调用并签署证据的组件。客户端在将请求加密到绑定AGR度量的密钥之前，验证签名的发布元数据和新鲜证明。AGR强制执行请求级路由、回退和端点约束，调用被接受的提供商，返回加密的响应流，并签署绑定策略、选定路由、端点身份、流承诺和完成元数据到受证明运行时的证据。在AWS Nitro Enclave上的初步Rust原型表明，机制开销适中，并能对受证明运行时之外的策略、路由、端点和流证据篡改进行故障关闭检测。