给AI开个写博客的接口，Z-BlogPHP的MCP插件把权限拆成六项

10月9日，Z-BlogPHP应用中心的zblogMcp插件更新到1.5.0。装上以后，支持MCP协议的AI客户端可以在ApiKey授权范围内读写博客的文章、分类、标签、媒体和评论。插件4.21MB，要求Z-BlogPHP 1.7.0 Tenet以上、PHP 7.1以上，截至10月17日下载167次。

插件启用的服务端点固定在/zb_users/plugin/zblogMcp/mcp.php，走的是标准MCP协议，客户端配置里填一个url加一个Bearer Token就能连。后台有一键生成客户端配置的按钮，省掉手写JSON那一步。连接之前要在后台新建ApiKey并确认它是启用状态，客户端刷新工具列表之后才会看到能调哪些。如果站点装了缓存插件，调完接口记得清一次缓存，否则前台看不到刚发的文章。

工具一共18个，铺得比想象中宽。文章这一组是zblog_list_articles分页查询（支持分类、关键词、状态筛选）、zblog_get_article读单篇、zblog_write_article创建或更新。分类两个：查询和创建。标签四个，从查询、读详情到保存、删除都有。媒体四个，查询、读详情、Base64上传、删除文件。评论五个，查询、读详情、创建回复、改审核状态、删除。也就是说，AI不只是能读，它能把一篇草稿发出去、能把评论审了、也能把媒体删掉。工具名前面统一带zblog_前缀，客户端里一眼能看出哪些是这个插件提供的。未授权的工具在调用时会被直接拒绝。

读取这一项覆盖文章列表、文章详情和分类查询，放开的是一整块的查询能力。六个独立开关分别在读取、文章写入、分类管理、标签管理、媒体管理、评论管理上，每个ApiKey单独配。给AI客户端只做校对的话，把后面五个全关掉，它就只能读。官方建议按客户端的用途分别建ApiKey，只开必要的那几项，不要一把钥匙全开。

每次调用都会落一条日志，记请求方法、接口、状态码、响应时间、ApiKey、IP和创建时间。日志能单条删也能清空，可以设保留天数，默认30天自动清理。请求体和响应体可以单独控制记不记，ApiKey这类字段会脱敏。这个设计的实际用处是事后能对上账：哪一次是AI改的文章、改了多久、返回了什么状态，都能翻到。日志默认开着，不想留痕可以在配置里关掉。

文章Meta字段那一栏可以填扩展字段的名称、类型和用途，填完AI客户端就能按说明读写主题和其他插件用的自定义数据。另一项配置是默认文章状态，可以设成公开、草稿或者审核中，管的是AI没传status时文章落在什么状态。

ApiKey不要提交到公开仓库、文章或截图里，这条排在官方五条安全建议的第一位。生产环境要走HTTPS，否则Bearer Token是明文在传输；只读客户端关掉文章写入、分类、标签、媒体和评论权限；不再用的ApiKey定期禁用或删除；日志内容按需记录，别存太多业务数据。另有一处容易被忽略：媒体上传走Base64，一张几兆的原图转码之后会撑大请求体，超过PHP的post上限就直接失败。插件本身不限单次上传体积，限的是PHP那边。

后台启用插件，新建ApiKey时把权限按用途收窄，复制生成的地址和Token填进客户端，先拿zblog_list_articles查一遍确认通路，你确认没问题再开写入。第一次别给写权限。