Реализация протокола контекста модели (Model Context Protocol, MCP), поддерживающая безопасное взаимодействие с базами данных MySQL. Этот серверный компонент устанавливает связь между AI-приложениями (хост/клиент) и базой данных MySQL, делая исследование и анализ базы данных более безопасными и структурированными через контролируемый интерфейс.
Примечание: MySQL MCP Server поддерживает два режима передачи: стандартный ввод-вывод (STDIO) и Streamable HTTP (SSE). Для удалённого/самостоятельного развёртывания рекомендуется режим SSE.
Управляемый — Fronteir AI запускает сервер за вас, без локальной настройки.
Локальный — Smithery устанавливает и запускает сервер на вашей машине.
Related MCP server: mysql-mcp-server
Перечисление доступных таблиц MySQL в виде ресурсов (resources)
Чтение содержимого таблиц
Выполнение SQL-запросов с полноценной обработкой ошибок
Режим нескольких баз данных (опционально MYSQL_DATABASE)
Поддержка SSE/HTTP-транспорта (MCP_TRANSPORT=sse)
Поддержка SSH-туннелей
Полная информация о структуре таблиц
Выборка данных из таблиц
Безопасный доступ к базе данных через переменные окружения
Полноценное логирование
pip install mysql-mcp-serverИспользуйте Smithery для автоматической установки MySQL MCP Server для Claude Desktop:
npx -y @smithery/cli install designcomputer/mysql-mcp-server --client claudeclaude mcp add --transport stdio designcomputer-mysql_mcp_server uvx mysql_mcp_serverautohand mcp add mysql env MYSQL_HOST=localhost MYSQL_PORT=3306 MYSQL_USER=your_username MYSQL_PASSWORD=your_password MYSQL_DATABASE=your_database uvx mysql_mcp_serverДобавление --scope project после mcp add сохранит регистрацию в текущем рабочем пространстве. Актуальные детали CLI см. в Autohand Code.
Задайте следующие переменные окружения:
MYSQL_HOST=localhost # 数据库主机
MYSQL_PORT=3306 # 可选：数据库端口（不指定时默认 3306）
MYSQL_USER=your_username
MYSQL_PASSWORD=your_password
MYSQL_DATABASE=your_database # 可选：留空则进入多数据库模式
# 高级配置
MYSQL_SSL_MODE=DISABLED # DISABLED、REQUIRED、VERIFY_CA、VERIFY_IDENTITY
MYSQL_CONNECT_TIMEOUT=10 # 超时时间（秒）
# 连接行为（可选）
MYSQL_SQL_MODE=TRADITIONAL # 连接所应用的 SQL mode（默认：TRADITIONAL）
# 兼容性（可选）
MYSQL_CHARSET=utf8mb4
MYSQL_COLLATION=utf8mb4_unicode_ci
MYSQL_AUTH_PLUGIN= # 例如旧版 MySQL 使用 mysql_native_password
MYSQL_USE_PURE=false # 强制使用纯 Python 连接器（默认：false）
MYSQL_RAISE_ON_WARNINGS=false # 出现 SQL 警告时抛出异常（默认：false）
# SSE 传输（可选）
MCP_TRANSPORT=stdio # stdio 或 sse
MCP_SSE_HOST=0.0.0.0 # 监听所有网卡（Docker/托管部署需要）
PORT=8000 # HTTP 端口（MCP_SSE_PORT 的回退值）
MCP_SSE_ALLOWED_HOSTS= # 逗号分隔的允许 Host 头（默认：localhost:{port},127.0.0.1:{port}）
# SSH 隧道（可选）
MYSQL_SSH_ENABLE=false # 设为 true 启用
MYSQL_SSH_HOST= # SSH 跳板机
MYSQL_SSH_PORT=22 # SSH 端口
MYSQL_SSH_USER= # SSH 用户名
MYSQL_SSH_KEY_PATH= # SSH 私钥路径
MYSQL_SSH_REMOTE_HOST=localhost # 从跳板机视角看的目标主机
MYSQL_SSH_REMOTE_PORT=3306
MYSQL_LOCAL_PORT=3330.envПри запуске сервер автоматически загружает файл .env через python-dotenv, для локального использования достаточно:
cp .env.example .env # 然后填入你的凭据Файл читается из рабочего каталога процесса (и его родительских каталогов), поэтому при самостоятельном запуске сервера в каталоге проекта всё работает корректно.
⚠️ Claude Code / Claude Desktop: Эти хосты запускают сервер из своих собственных рабочих каталогов, поэтому не находят
.envиз проекта, и вы увидитеMissing required database configuration. Запишите значенияMYSQL_*в блокenvконфигурации MCP (см. раздел «Использование» ниже), не полагаясь на.env.
Если MYSQL_DATABASE не задан, сервер переходит в режим нескольких баз данных:
list_resources возвращает все пользовательские базы данных (системные базы фильтруются)
В SQL-запросах используйте полные имена таблиц, например mydb.mytable
Примечание: поддерживается только один SQL-оператор, многооператорные запросы не поддерживаются (например, USE db; SELECT ...).
Запустите сервер в режиме SSE и откройте встроенную административную страницу для управления несколькими подключениями к базам данных, для каждого подключения можно настроить отдельные учётные записи чтения/записи:
# Windows PowerShell
$env:MCP_TRANSPORT="sse"; $env:MCP_SSE_PORT="8000"; python -m mysql_mcp_server
# Linux/macOS
MCP_TRANSPORT=sse MCP_SSE_PORT=8000 python -m mysql_mcp_serverАдминистративная страница: http://127.0.0.1:8000/admin/ (доступ только через loopback — административный API и страница отклоняют не-loopback клиентов и неизвестные заголовки Host; не размещайте её за обратным прокси).
Для каждого псевдонима можно настроить:
Поле | Назначение |
Подключение (host/port/database) | Цель подключения. Пустое database означает режим нескольких баз данных. |
Пользователь запросов (read_user) | Для SELECT / SHOW / DESCRIBE / EXPLAIN |
Пользователь операций (write_user) | Для DML/DDL после подтверждения |
write_policy |
|
allow_delete | Общий переключатель DELETE / TRUNCATE / DROP (по умолчанию выключен) |
Клиенты подключаются по псевдониму: http://127.0.0.1:8000/sse?alias=db1
(при отсутствии alias используется псевдоним по умолчанию). Когда в config/databases.json нет ни одной записи, исходные переменные окружения MYSQL_* по-прежнему работают как обратно совместимый резервный вариант для одной базы данных (в этом режиме чтение и запись используют одну учётную запись).
Обратите внимание на отличие от режима нескольких баз данных выше: в том режиме на одном подключении открывается несколько схем; а псевдонимы управляют несколькими подключениями, каждое со своей учётной записью и политикой записи.
Как подтверждаются операции записи: сервер выполняет трёхуровневую оценку каждого оператора (чтение / запись / удаление). Операции чтения выполняются с учётной записью запросов; операции записи и удаления вызывают MCP elicitation-окно с полным SQL — при принятии выполняется с учётной записью операций, при отклонении прерывается. Если клиент не поддерживает elicitation, поведение определяется политикой write_policy псевдонима (см. таблицу выше). Все попытки операций записи фиксируются в списке аудита административной страницы (на диске — logs/audit.log).
execute_sqlВыполняет произвольные стандартные SQL-запросы.
Параметры: query (строка)
Функциональность: поддерживает SELECT, SHOW, DESCRIBE и DML (INSERT, UPDATE, DELETE). DML-операции помечены как деструктивные.
Ограничения: поддерживается только один оператор, многооператорные запросы не поддерживаются.
Межбазовый доступ: независимо от настройки MYSQL_DATABASE, можно запрашивать любую базу данных через запись database.table.
get_schema_infoПредоставляет подробные метаданные о структуре базы данных.
Параметры: table_name (необязательная строка)
Вывод: имена столбцов, типы, допустимость NULL, значения по умолчанию и комментарии.
Межбазовый доступ: передача database.table позволяет запрашивать базы за пределами MYSQL_DATABASE; голое имя таблицы использует настроенную базу данных.
Правила идентификаторов: имена могут содержать только буквенно-цифровые символы, подчёркивания и $ (допускается одна точка как разделитель database.table).
get_table_sampleПолучает репрезентативную выборку данных.
Параметры: table_name (строка), limit (необязательное целое, максимум 20)
Назначение: быстрое понимание формата и содержания данных без загрузки больших результирующих наборов.
Межбазовый доступ: передача database.table позволяет выполнять выборку из баз за пределами MYSQL_DATABASE; голое имя таблицы использует настроенную базу данных.
Правила идентификаторов: имена могут содержать только буквенно-цифровые символы, подчёркивания и $ (допускается одна точка как разделитель database.table).
Помимо инструментов, сервер предоставляет MCP prompts — управляемые многошаговые рабочие процессы, которые клиент может запускать по требованию. В Claude Code они появляются как слэш-команды (/mcp__<server>__<prompt>); в Claude Desktop — в меню подсказок (+).
Prompt | Параметры | Описание |
| (нет) | Систематическое исследование базы данных: обнаружение доступных таблиц, просмотр структуры, выборка данных и обобщение содержимого. |
|
| Глубокий анализ указанной таблицы: получение структуры, выборка данных и практические рекомендации по запросам. Поддерживает межбазовые запросы через запись |
Пример (Claude Code):
/mcp__mysql__explore_database
/mcp__mysql__analyze_table customersОбе подсказки используют существующие инструменты get_schema_info и get_table_sample; explore_database также использует список ресурсов для перечисления таблиц.
Добавьте следующее в claude_desktop_config.json:
{
"mcpServers": {
"mysql": {
"command": "uv",
"args": [
"--directory",
"path/to/mysql_mcp_server",
"run",
"mysql_mcp_server"
],
"env": {
"MYSQL_HOST": "localhost",
"MYSQL_PORT": "3306",
"MYSQL_USER": "your_username",
"MYSQL_PASSWORD": "your_password",
"MYSQL_DATABASE": "your_database"
}
}
}
}Более подробные примеры и инструкции для конкретных агентов см. в MCP_USECASES.md.
Добавьте следующее в mcp.json:
{
"mcpServers": {
"mysql": {
"type": "stdio",
"command": "uvx",
"args": [
"--from",
"mysql-mcp-server",
"mysql_mcp_server"
],
"env": {
"MYSQL_HOST": "localhost",
"MYSQL_PORT": "3306",
"MYSQL_USER": "your_username",
"MYSQL_PASSWORD": "your_password",
"MYSQL_DATABASE": "your_database"
}
}
}
}Примечание: необходимо предварительно установить uv.
MySQL MCP Server не предназначен для автономного запуска или прямого запуска из командной строки Python, но вы можете использовать MCP Inspector для отладки.
MCP Inspector предоставляет удобный способ тестирования и отладки MCP-реализаций:
# 安装依赖
pip install -r requirements.txt
# 使用 MCP Inspector 调试（不要直接用 Python 运行）MySQL MCP Server предназначен для интеграции в AI-приложения, такие как Claude Desktop, и не должен запускаться как самостоятельная Python-программа.
# 克隆仓库
git clone https://github.com/designcomputer/mysql_mcp_server.git
cd mysql_mcp_server
# 创建虚拟环境
python -m venv venv
source venv/bin/activate # Windows 上用 `venv\Scripts\activate`
# 安装开发依赖
pip install -r requirements-dev.txt
# 复制示例配置并填入你的凭据
cp .env.example .env
# 编辑 .env，填入 MySQL 连接信息
# 运行测试
pytestПроверка идентификаторов: имена таблиц и баз, передаваемые в get_schema_info и get_table_sample, проходят строгую проверку по белому списку (допускаются только буквенно-цифровые символы, подчёркивания и $; допускается одна точка как разделитель database.table). Все остальные специальные символы отклоняются для предотвращения SQL-инъекций.
Зашифрованный доступ: полная поддержка SSL/TLS и SSH-туннелей для безопасных удалённых подключений.
Конфиденциальность журналов: пароли и SSH-ключи автоматически маскируются в журналах сервера.
Минимальные привилегии: всегда используйте выделенного пользователя MySQL с минимальными привилегиями.
SSE-транспорт не имеет встроенной аутентификации. SSE-сервер по умолчанию привязывается к 0.0.0.0 и принимает подключения без учётных данных. Если он доступен за пределами localhost, разместите его за обратным прокси с обязательной аутентификацией (nginx, Caddy, Traefik). Пример nginx + HTTP Basic Auth:
location /sse {
auth_basic "MCP";
auth_basic_user_file /etc/nginx/.htpasswd;
proxy_pass http://127.0.0.1:8000;
proxy_set_header Host $host;
proxy_buffering off;
}
location /messages/ {
auth_basic "MCP";
auth_basic_user_file /etc/nginx/.htpasswd;
proxy_pass http://127.0.0.1:8000;
proxy_set_header Host $host;
}Установите MCP_SSE_HOST=127.0.0.1, чтобы сервер прослушивал только loopback-адрес, и прокси станет единственной публичной точкой входа. Установите MCP_SSE_ALLOWED_HOSTS на публичное имя хоста, пересылаемое прокси (например, MCP_SSE_ALLOWED_HOSTS=myserver.example.com:443).
Полное руководство по безопасному развёртыванию см. в SECURITY.md.
Эта MCP-реализация требует доступа к базе данных для работы. Для безопасности:
Создайте выделенного пользователя MySQL с минимальными привилегиями
Никогда не используйте root-учётные данные или учётные записи администратора
Ограничьте доступ к базе данных только необходимыми операциями
Включите логирование для аудита
Регулярно проводите проверки безопасности доступа к базе данных
Подробные инструкции см. в Руководстве по безопасной конфигурации MySQL, включая:
Создание ограниченного пользователя MySQL
Настройка соответствующих привилегий
Мониторинг доступа к базе данных
Рекомендации по безопасности
⚠️ Важно: при настройке доступа к базе данных обязательно соблюдайте принцип минимальных привилегий.
MIT License — подробности см. в файле LICENSE.
Форкните этот репозиторий
Создайте ветку функции (git checkout -b feature/amazing-feature)
Зафиксируйте изменения (git commit -m 'Add some amazing feature')
Отправьте ветку (git push origin feature/amazing-feature)
Откройте Pull Request
Execute a SQL statement against the MySQL server. Use for SELECT, DML (INSERT/UPDATE/DELETE), SHOW, DESCRIBE, and ad-hoc queries. Supports cross-database queries using database.table notation. Single statements only — use fully qualified names instead of USE statements. Write/delete statements require user confirmation: depending on the client, either a confirmation prompt appears, or the first call returns a confirm_token — show the SQL to the user, and after explicit consent re-call with the same query plus confirm_token. Use the optional alias parameter to target a different configured database within a single connection.
| Name | Required | Description | Default |
|---|---|---|---|
| alias | No | 数据库别名，或管理页面 /admin 中为该库配置的项目名称（项目文件夹名）。在单个 SSE 连接内通过此参数切换不同库；省略时用连接 URL ?alias 指定的别名或默认别名。建议优先传当前项目文件夹名自动匹配对应数据库。 | |
| query | Yes | The SQL statement to execute. Single statements only. | |
| confirm_token | No | One-time confirmation token returned by a previous write attempt. Pass it with the SAME query after the user explicitly approved the SQL. |
Does the description disclose side effects, auth requirements, rate limits, or destructive behavior?
Annotations mark this as destructive, and the description substantially expands on this by detailing the confirmation workflow: a prompt appears, or a confirm_token is returned and must be re-sent with the same query after explicit user consent. It also discloses single-statement-only behavior and cross-database support, going well beyond the annotation flags.
Agents need to know what a tool does to the world before calling it. Descriptions should go beyond structured annotations to explain consequences.
Is the description appropriately sized, front-loaded, and free of redundancy?
The description is dense but well-structured, front-loading the main purpose, then constraints, confirmation flow, and alias behavior. Every clause contributes essential information without redundancy, and its length is justified by the tool's complexity.
Shorter descriptions cost fewer tokens and are easier for agents to parse. Every sentence should earn its place.
Given the tool's complexity, does the description cover enough for an agent to succeed on first attempt?
For a destructive SQL tool with no output schema, this description covers all critical operational aspects: statement types, single-statement enforcement, cross-db notation, the confirmation protocol, and alias usage. The only gap is return-format details, but that is standard SQL client behavior and not essential for correct invocation.
Complex tools with many parameters or behaviors need more documentation. Simple tools need less. This dimension scales expectations accordingly.
Does the description clarify parameter syntax, constraints, interactions, or defaults beyond what the schema provides?
The schema already covers all parameters, so the baseline is 3. The description adds meaningful semantics for confirm_token (one-time token from a prior write attempt, pass with the same query after approval) and alias (switch database within a single connection), enriching the raw schema definitions.
Input schemas describe structure but not intent. Descriptions should explain non-obvious parameter relationships and valid value ranges.
Does the description clearly state what the tool does and how it differs from similar tools?
The description clearly identifies the tool as executing SQL statements against a MySQL server and enumerates supported statement types (SELECT, DML, SHOW, DESCRIBE, ad-hoc queries). It is distinct from sibling inspection tools by its general-purpose scope, though it does not explicitly name or contrast them.
Agents choose between tools based on descriptions. A clear purpose with a specific verb and resource helps agents select the right tool.
Does the description explain when to use this tool, when not to, or what alternatives exist?
It provides direct usage guidance by enumerating applicable statement types and imposing constraints: single statements only, fully qualified names instead of USE statements, and confirmation for writes/deletes. It does not explicitly discuss when to prefer sibling tools like get_schema_info, but the implied distinction is clear.
Agents often have multiple tools that could apply. Explicit usage guidance like "use X instead of Y when Z" prevents misuse.
Get column metadata for a table or all tables in the configured database: column names, data types, nullability, default values, and comments. Call this before querying an unfamiliar table. Omit table_name to see all tables at once. Accepts bare table names (uses MYSQL_DATABASE) or database.table for cross-database lookups. Use alias to target a different configured database.
| Name | Required | Description | Default |
|---|---|---|---|
| alias | No | 数据库别名，或管理页面 /admin 中为该库配置的项目名称（项目文件夹名）。在单个 SSE 连接内通过此参数切换不同库；省略时用连接 URL ?alias 指定的别名或默认别名。建议优先传当前项目文件夹名自动匹配对应数据库。 | |
| table_name | No | Optional: bare table name, or database.table for a cross-database lookup. |
Does the description disclose side effects, auth requirements, rate limits, or destructive behavior?
Annotations already mark readOnlyHint=true and destructiveHint=false, so the safety profile is known. The description adds behavioral context: it can return metadata for all tables when table_name is omitted, accepts database.table for cross-database lookups, and uses bare names with MYSQL_DATABASE, plus alias switching behavior. This goes beyond the annotations without contradicting them.
Agents need to know what a tool does to the world before calling it. Descriptions should go beyond structured annotations to explain consequences.
Is the description appropriately sized, front-loaded, and free of redundancy?
The description is compact and front-loaded with the core purpose, then provides usage details in logical order. Every sentence contributes useful information without excessive verbosity.
Shorter descriptions cost fewer tokens and are easier for agents to parse. Every sentence should earn its place.
Given the tool's complexity, does the description cover enough for an agent to succeed on first attempt?
Given the tool's simplicity, annotations, and full schema coverage, the description is complete enough for an agent to select and invoke it. It covers scoping, naming, and alias switching. Minor gaps like return format are acceptable since no output schema exists and the tool is a read-only metadata lookup.
Complex tools with many parameters or behaviors need more documentation. Simple tools need less. This dimension scales expectations accordingly.
Does the description clarify parameter syntax, constraints, interactions, or defaults beyond what the schema provides?
Schema description coverage is 100%, so the schema documents both parameters. The description still adds meaning by explaining the semantic effects of omitting table_name, the database.table format, bare-name resolution via MYSQL_DATABASE, and alias behavior.
Input schemas describe structure but not intent. Descriptions should explain non-obvious parameter relationships and valid value ranges.
Does the description clearly state what the tool does and how it differs from similar tools?
The description clearly states the tool retrieves column metadata (names, data types, nullability, defaults, comments) for a table or all tables, with a specific resource and verb. It also distinguishes itself from sibling tools by positioning it as the pre-query metadata lookup.
Agents choose between tools based on descriptions. A clear purpose with a specific verb and resource helps agents select the right tool.
Does the description explain when to use this tool, when not to, or what alternatives exist?
The description explicitly says to call this before querying an unfamiliar table, explains how to list all tables, and notes cross-database usage and alias-based targeting. This provides clear contextual guidance on when and how to use the tool.
Agents often have multiple tools that could apply. Explicit usage guidance like "use X instead of Y when Z" prevents misuse.
Fetch a small sample of rows from a table to understand its data format and content. Use alongside get_schema_info before writing complex queries. Accepts bare table names (uses MYSQL_DATABASE) or database.table for cross-database lookups. Use alias to target a different configured database.
| Name | Required | Description | Default |
|---|---|---|---|
| alias | No | 数据库别名，或管理页面 /admin 中为该库配置的项目名称（项目文件夹名）。在单个 SSE 连接内通过此参数切换不同库；省略时用连接 URL ?alias 指定的别名或默认别名。建议优先传当前项目文件夹名自动匹配对应数据库。 | |
| limit | No | Number of rows to return (default 5, max 20). | |
| table_name | Yes | Table to sample. Use database.table notation for cross-database queries. |
Does the description disclose side effects, auth requirements, rate limits, or destructive behavior?
Annotations already declare readOnlyHint=true and destructiveHint=false, so safety is covered. The description adds valuable behavioral context: bare table names use MYSQL_DATABASE, database.table enables cross-database lookups, and alias switches the configured database target. It does not describe return shape or sampling order, but these are less critical given the read-only annotations.
Agents need to know what a tool does to the world before calling it. Descriptions should go beyond structured annotations to explain consequences.
Is the description appropriately sized, front-loaded, and free of redundancy?
The description is four sentences with no filler: purpose, usage timing, table-name syntax, and alias behavior each get one focused sentence. It is front-loaded with the core action and reads efficiently.
Shorter descriptions cost fewer tokens and are easier for agents to parse. Every sentence should earn its place.
Given the tool's complexity, does the description cover enough for an agent to succeed on first attempt?
For a simple read-only sampler with no output schema, the description covers what the tool does, when to use it, how to name tables, and how to override the database target. An agent has enough information to invoke it correctly without needing to infer anything beyond the schema.
Complex tools with many parameters or behaviors need more documentation. Simple tools need less. This dimension scales expectations accordingly.
Does the description clarify parameter syntax, constraints, interactions, or defaults beyond what the schema provides?
Schema description coverage is 100%, so the baseline is 3. The description goes beyond the schema by specifying that bare table names resolve to MYSQL_DATABASE and reinforcing how alias targets a different configured database. The limit parameter needs no extra explanation because the schema already documents default and maximum.
Input schemas describe structure but not intent. Descriptions should explain non-obvious parameter relationships and valid value ranges.
Does the description clearly state what the tool does and how it differs from similar tools?
Description states a specific action and resource: 'Fetch a small sample of rows from a table to understand its data format and content.' It also names a companion tool (get_schema_info) and clearly frames this as an exploration tool, which distinguishes it from execute_sql even without an explicit contrast.
Agents choose between tools based on descriptions. A clear purpose with a specific verb and resource helps agents select the right tool.
Does the description explain when to use this tool, when not to, or what alternatives exist?
The description gives clear context: 'Use alongside get_schema_info before writing complex queries,' indicating when this tool is appropriate. It does not explicitly state when to prefer execute_sql instead, but the phrase 'before writing complex queries' implies the alternative, so it falls just short of fully explicit exclusion guidance.
Agents often have multiple tools that could apply. Explicit usage guidance like "use X instead of Y when Z" prevents misuse.
Recent tool additions, removals, and schema changes observed during successful MCP inspections.
v0.4.4execute_sqlget_schema_infoget_table_sampleScored across 3 tools
Each tool has a clear, distinct role: execute_sql for arbitrary SQL, get_schema_info for metadata, and get_table_sample for row previews. Although execute_sql can also run SHOW/SELECT statements, the specialized helper tools are explicitly framed as complementary, not competing.
All tool names follow a consistent verb_noun pattern in snake_case: execute_sql, get_schema_info, get_table_sample. This makes the action and target of each tool predictable.
Three tools is a compact but appropriate scope for a SQL database server: one general execution path plus two focused inspection helpers. Each tool serves a distinct need without redundancy.
The surface covers the core workflow: inspect schema, preview data, and execute arbitrary SQL for reads and writes. Cross-database behavior and user confirmation are handled, and remaining database-level operations can be reached via execute_sql.
Guard AI agents' PostgreSQL/MySQL access via MCP: SQL audit, auth, masking, write approval
PostgreSQL, MySQL, and SQL Server in one session. 26 read-only MCP tools for AI agents.
Draxlr's remote MCP server connects AI assistants to your SQL databases and dashboards. Explore schemas, run read-only queries, manage saved queries and dashboards, and export results, all with row-level security so each user sees only their own data.
Paid remote MCP for governed database query review, SQL simulation, approvals, and audits.
