自去年十一月发布以来，MCP 以惊人的速度持续增长。在我们的一级 SDK 中，月下载量接近五亿，其中 TypeScript 和 Python SDK 的总下载量均已超过十亿。在短短几个月内，该协议继续作为自主工作流程的数据和交互基础进行扩展。今天，我们正式推出 MCP 规格的下一个版本 2026-07-28，以及能够让您立即开始构建客户端和服务器的 SDK。此次发布的亮点是无状态协议核心——MCP 正在从双向状态协议转变为请求/响应无状态协议。这是开发者们最迫切要求的特性之一，他们渴望为自己的 MCP 服务器获得更好的可靠性和可扩展性。无状态协议核心的简短演示。当然，我们在这个版本中引入的内容远不止于此：每个请求都具有自描述性，对于希望提前了解能力的客户端，可以选择发现调用，因此任何请求都可以落在普通轮询负载均衡器后面的任何实例上。方法和工具名称通过 Mcp-Method 和 Mcp-Name HTTP 头传输，因此网关可以直接根据头路由和授权。服务器对客户端的请求，如采样和提取，正在重新设计为使用多轮请求（MRTR），消除持续打开的双向流的需求。列表响应携带缓存提示和确定性顺序，因此客户端可以缓存工具目录，并在重新连接时保持上游提示缓存的稳定。正式锁定适当的扩展框架，任务与其他扩展（如 MCP 应用和企业托管授权（EMA））结合。一系列授权加固更改，包括 RFC 9207 发布者验证，以及正式从动态客户端注册（DCR）转向客户端元数据文档（CIMD）。一个正式的弃用政策，设有最小十二个月的窗口，以便您可以规划升级，而不是被迫反应。TypeScript、Python、Go 和 C# SDK 已更新以相应匹配，并为中断的部分提供了详细的迁移说明——您可以立即开始使用新的规范。改变内容：没有握手或会话。通过新规范版本，我们正式退休了初始化/已初始化的交换以及 Mcp-Session-Id 头（请参阅 SEP-2575, SEP-2567）。每个请求现在独立进行，携带其协议版本、客户端身份和客户端能力在 _meta 中。如果客户端希望在执行任何操作之前了解服务器的能力，现有新的服务器/发现远程过程调用（RPC）可供使用；不过，这不是必需的。任何请求现在可以落在普通轮询负载均衡器后面任何服务器实例上，而无需共享存储。POST /mcp HTTP / 1.1 MCP-Protocol-Version : 2026-07-28 Mcp-Method : tools/call Mcp-Name : search {"jsonrpc":"2.0","id":1,"method":"tools/call", "params":{"name":"search","arguments":{"q":"水獺"}, "_meta":{"io.modelcontextprotocol/clientInfo":{"name":"my-app","version":"1.0"}}}} 去掉协议级别的会话并不迫使您的应用程序处于无状态。如果您的服务器需要在调用之间保持状态，可以从工具中生成一个显式句柄，并让模型将其作为参数返回。我们发现这比将会话状态隐藏在传输中更有效，因为模型可以看到该句柄并在工具之间线索。多轮请求（MRTR）MRTR 替代了之前需要保持打开流的服务器发起的提取/创建、采样/创建消息和根/列表请求。有时，工具在调用过程中需要用户提供某些内容，例如确认或缺失的参数。MRTR（SEP-2322）使这种情况可以在无状态协议上进行：服务器返回 resultType: "input_required" 以及它需要回答的请求，客户端将原始调用与附加的答案一起重试 inputResponses。可流式传输的 HTTP 请求现在必须包含 Mcp-Method 和 Mcp-Name（SEP-2243）。您的网关、速率限制器或 WAF 可以根据这些头进行路由和计量，而无需解析 JSON 主体。列表结果是可缓存的，来自 tools/list、prompts/list、resources/list 和 resources/read 的响应现在携带 ttlMs 和 cacheScope（SEP-2549）。这允许客户端为响应确定最佳的缓存策略，并减少不必要的重新获取。授权：根据我们过去一年的讨论，授权是实现者在集成时花费最多时间的地方。通过此规格修订，我们继续发展 MCP 的授权和安全态势。授权服务器应根据 RFC 9207 返回 iss 参数，客户端必须在赎回代码之前进行验证（SEP-2468）。这样关闭了授权服务器混淆的漏洞。客户端在动态客户端注册（DCR）期间设置 application_type，以便授权