安全与授权

MCP 和外部 API 要不要对外开放？开启后有多大权限？

说明 VVCMS MCP 与外部 API 的实际权限范围（含主题文件删除能力）、默认关闭的原因、开启后的防护配置与审计能力。

外部 API 和 MCP 的 Token 怎么管理？泄露了怎么办？

说明 VVCMS 两套凭证（外部 Bearer Token 与后台 VToken）的区别、Token 的来源与轮换方式、泄露后的处置步骤，以及防护建议。