FavCRM

實務接駁教學 · MODEL CONTEXT PROTOCOL

將 Claude、ChatGPT 與 Cursor 安全接駁至 FavCRM

唔使再匯出 Excel 貼入對話視窗，亦唔使開一張全權 API Key。透過 api.favcrm.io 三個獨立 OAuth 2.1 權限端點，按工作風險安全連接客戶檔案、預約排期同套票餘額。

FavCRM 提供三個清晰隔離嘅 MCP 端點：唯讀查閱 (/mcp/oauth/view)、預約排期管理 (/mcp/oauth/manage) 及完整 CRM + Approval Guard (/mcp/oauth/crm)。

預約示範了解 AI 與 MCP 架構

FavCRM 工程與安全團隊平台架構與權限控制組

重點摘要

要讓 AI 助手安全協助日常營運，最重要係唔好將客戶電話名單貼上公開對話視窗，亦唔好發放無限制嘅管理員金鑰。揀選最窄權限嘅 FavCRM MCP 網址（https://api.favcrm.io），以 OAuth 2.1 登入，並喺開放寫入前啟用 Approval Guard 人手審批。

  1. 先由 https://api.favcrm.io/mcp/oauth/view 開始，安全查詢今日預約、客戶歷史同套票餘額（零修改權限）。
  2. 需要自然語言幫客人排期或改期時，連接 https://api.favcrm.io/mcp/oauth/manage。
  3. 於 FavCRM Pro 啟用 Approval Guard 後再連接 https://api.favcrm.io/mcp/oauth/crm，讓外發訊息同折扣改動先經人手確認。
  4. 接駁後先用查詢指令測試，並定期喺「設定 → 整合」撤銷唔再用嘅連接。

1. 按工作風險揀選 OAuth 2.1 端點網址

FavCRM 喺網址層面已經將權限拆開，令你喺登入前鎖定影響範圍。

好多 MCP 伺服器將讀取同修改工具放喺同一個網址入面，萬一指令寫得唔清楚就有機會誤改資料。FavCRM 於 https://api.favcrm.io 按任務分拆成三個端點。

如果你只需要每日早會名單、熟客上次紀錄或套票到期提醒，直接連接 https://api.favcrm.io/mcp/oauth/view。該端點結構上唔包含任何寫入工具，AI 無法修改任何紀錄。

  • https://api.favcrm.io/mcp/oauth/view — 唯讀客戶檔案、預約排期、商機與待辦事項。
  • https://api.favcrm.io/mcp/oauth/manage — 讀取＋建立預約、改期與更新出席狀態（Simply Booking 及 Pro）。
  • https://api.favcrm.io/mcp/oauth/crm — 完整 CRM 客戶跟進、待辦與訊息草稿，支援 Approval Guard 人手把關（FavCRM Pro）。

2. 以 OAuth 2.1 連接 Claude 或 ChatGPT

支援 OAuth 2.1 + PKCE 嘅 AI 工具可以直接透過瀏覽器授權，毋須複製長期 API 金鑰。

打開 Claude（Settings → Connectors → Add custom connector）或 ChatGPT（Settings → Connectors），貼上第 1 步揀好嘅 FavCRM 端點網址。

系統會彈出 FavCRM 授權畫面，清楚列出所選商戶空間同要求嘅權限範圍。你亦可以喺批准前取消勾選寫入權限。

  • 批准前確認右上角顯示嘅商戶空間（Workspace）名稱正確。
  • 用唯讀指令測試：「幫我列出聽日已確認嘅預約同快將到期嘅套票客人。」
  • 到 FavCRM 後台「設定 → 已連接應用／整合」確認連接已記錄在案。

3. 以指定範圍金鑰連接 Cursor 或本地工具

如果本地 IDE 或內部腳本未支援瀏覽器 OAuth，可建立明確限制範圍嘅 MCP Key。

登入 FavCRM 商戶後台「設定 → 整合 → MCP Keys」，揀選權限組合（唯讀、預約管理或 CRM 跟進）。系統會自動拒絕空白或全開權限嘅金鑰。

將金鑰儲存於環境變數（切勿提交至 Git），並將 MCP 網址設為 https://api.favcrm.io/mcp，附上 Authorization: Bearer 標頭。

  • 按裝置命名每條金鑰（例如「店舖 Mac mini — 唯讀」），方便日後單獨撤銷。
  • 同事轉機或離職時，即時於後台停用該金鑰。

4. 啟用 Approval Guard 與操作紀錄審查

將外發 WhatsApp 訊息、折扣優惠、退款同敏感改動留返畀人手拍板。

於 FavCRM Pro 開啟 Approval Guard 後，當 AI 建議更新敏感資料或草擬熟客續購訊息時，系統會將建議放入待批清單，由店長或負責人確認後先執行。

每一次 MCP 工具呼叫（無論係唯讀查詢、排期改動定獲批草稿）都會完整寫入商戶操作紀錄（audit trail），清楚顯示執行來源、時間同受影響客戶。

正式啟用前嘅 5 個安全習慣

確保團隊用得順手，同時守住客戶私隱同商譽。

  1. 新同事或新 AI 工具一律先由 https://api.favcrm.io/mcp/oauth/view 唯讀端點開始。
  2. 連接 /mcp/oauth/crm 處理真實熟客名單時，保持開啟 Approval Guard。
  3. 切勿將完整客戶電話表或交易紀錄直接貼入未授權嘅對話視窗。
  4. 每部電腦使用獨立命名嘅 MCP Key，遺失或換機時可一鍵切斷。
  5. 每月定期檢查「設定 → 整合」，撤銷唔再使用嘅 OAuth 授權。

常見問題

撤銷 OAuth 連接後幾耐生效？

即時生效。喺 FavCRM 後台撤銷授權後，該 AI 對話視窗嘅下一次工具請求就會收到授權失敗回應，唔會再讀取到任何商戶資料。

Manage 預約端點 (/mcp/oauth/manage) 會唔會可以發送 WhatsApp 廣播？

唔會。/mcp/oauth/manage 嚴格限制喺預約排期與現有客戶基本查閱範圍，結構上唔包含 WhatsApp 廣播、行銷活動或平台設定工具。

使用 MCP 需要額外按 AI 座位收費嗎？

唔需要。FavCRM 按公開方案提供對應 MCP 端點，你可以直接配合自己現有嘅 Claude、ChatGPT 或 Cursor 帳戶使用，無額外 AI 座位稅。