如何在api或者mcp调用中限制权限scope？

[AshYang-right]

我只是想要行情和账户详情（交易信息或者记录等），让agent去做一些复盘和分析；
向agent开放交易操作的权限比较危险，想知道api/mcp中能不能直接限制只读？例如--readonly之类的

[Colbert-Ran]

使用 OAuth 访问，在授权时可以去除交易类权限，或者仅授权模拟账户交易类权限。