Neon MCP 用 mcp.neon.tech/mcp，不要抄 /sse 或本地 stdio 包

Neon 托管的是远程 Streamable HTTP。Codex 本机主路径是：

codex mcp add neon --url https://mcp.neon.tech/mcp
codex mcp login neon

[mcp_servers.neon]
url = "https://mcp.neon.tech/mcp"
enabled = true

第一次会打开 Neon 授权。连上之后可以建分支、跑 SQL、看 schema。官方自己把这台 MCP 定位成开发 / 测试，不要挂生产库，保持工具批准。

常用查询写进 url（和 PostHog 一样拼进 URL，不是 Datadog 那种工具集头）：

• ?readonly=true：只留读工具。SELECT 和看 schema 还在，建分支 / 跑迁移会关掉
• ?projectId=prj_abc123：钉死一个项目（键是驼峰 projectId，不是 Supabase 的 project_ref）
• ?category=querying：按工具组过滤，可重复。常见还有 schema、branches、docs

可以组合：

[mcp_servers.neon]
url = "https://mcp.neon.tech/mcp?readonly=true&projectId=prj_abc123"
enabled = true

CI 不能开浏览器时，走 API key，不要把 Authorization: Bearer 写进 http_headers：

[mcp_servers.neon]
url = "https://mcp.neon.tech/mcp?projectId=prj_abc123"
bearer_token_env_var = "NEON_API_KEY"
enabled = true

键里是变量名。变量必须在启动 Codex 的那个进程里，Codex 不读 .env。不要和已经 mcp login 的 OAuth 写在同一张表。官方 Codex 分支工作流还会在项目里跑 neon set-context，生成 .neon 给模型看项目 ID，那不是 MCP 登录本身。

只要技能、顺带登记这台 MCP 时，用 Neon CLI，必须钉死 Codex：

npx neon@latest plugins --agent codex -y

只接线、不装插件时：npx neon@latest mcp --oauth --agent codex。不要跑不带 --agent 的 neon mcp -y，它会改所有检测到的客户端，默认还会把新铸的 API key 写进配置。git 跟踪的项目配置里不要落密钥。

不要做这些：

• 不要把 npx add-mcp https://mcp.neon.tech/mcp 当 Codex 主路径。它会改所有检测到的 agent。
• 不要抄 https://mcp.neon.tech/sse。这条 HTTP+SSE 已弃用，2026-10-01 起会 410 Gone。SSE 也不支持 API key。
• 不要装本地 @neondatabase/mcp-server-neon。那包已弃用。
• 不要套 mcp-remote，也不要抄 Claude Desktop 那份 mcpServers JSON。
• 不要抄 Claude 的 --transport http。
• 不要给它 required = true 挂全局。
• 不要一上来 --yolo。分支和 SQL 都可能带提示注入。

项目开了 IP Allow 时，要把托管出口 34.192.103.46 和 23.22.233.166 加进白名单，否则 MCP 连不上库。网页 Cloud 不读 ~/.codex/config.toml。改完新开会话。用 codex mcp get neon 看传输是 streamable_http。