@modelcontextprotocol/express@2.0.1

MCP TypeScript SDK 的 Express 适配包发布 2.0.1 补丁，核心变化是给 Streamable HTTP 请求体读取加上默认 4 MiB 上限。SDK 自有的所有请求体读取路径——WebStandardStreamableHTTPServerTransport 及其上的 Node transport、createMcpHandler、toNodeHandler、createMcpHonoApp 的 JSON 预解析——都会在解析前停止并返回 413 Payload Too Large；该限制与旧版 SSE transport 已使用的限制一致，Express 适配器与 stdio 也约束了读取。toWebRequest 自行读取 Node 流时，超限会以 name 为 RequestBodyTooLargeError、status 为 413 的错误拒绝，toNodeHandler 将其转为 413；手工调用 toWebRequest 的代码需处理该拒绝或传入已解析的 body，isLegacyRequest 会把这类请求判为非 legacy 交由现代 handler 处理。JSON-RPC 批量数组限制为 100 条消息，更长批次返回 400 / -32600 且不派发任何一条。限制可通过新增 maxRequestBodySize 选项（字节，默认 DEFAULT_MAX_REQUEST_BODY_SIZE = 4 MiB，从 @modelcontextprotocol/server 导出）配置。

这是把资源边界从「调用方自觉」改为「传输层默认拒绝」的改动：限制发生在解析之前，因此超限请求不会消耗 JSON 解析与对象分配成本，属于典型的早期拒绝设计。对自建 HTTP 入口的集成方，需要确认是否依赖超过 4 MiB 的请求体，以及手工调用 toWebRequest 时是否捕获 RequestBodyTooLargeError；批量上限 100 条则要求客户端把大批量拆分为多次调用。可验证的下一信号是官方文档或后续版本是否给出 maxRequestBodySize 的推荐取值与流式上传替代方案。