1. NetSuite 接 AI 的真实痛点为什么 MCP Tools 值得折腾NetSuite MCP Tools 是 NetSuite 官方在 2025 年 9 月发布的 Model Context Protocol 标准工具集它能让 Cursor、Claude、Copilot 这类主流 AI 客户端直接读取 NetSuite 里的业务数据用一句自然语言就能查库存、查逾期应收、查订单履约状态不用写 SuiteQL也不用写 SuiteScript。适合谁需要在 NetSuite 上做二次开发的工程师、实施顾问以及被导出 CSV 再喂给 AI折磨过的财务和运营同学。我先说清楚它解决的是什么问题。传统做法里你想让 AI 帮你分析 NetSuite 数据路径通常是登录 NetSuite → 跑 Saved Search → 导出 Excel → 上传给 AI → 等它分析。这条链路有三个坑数据是快照不是实时导出字段要手工对齐敏感数据一旦落到本地文件就有合规风险。MCP Tools 把这条链路砍成一步——AI 客户端通过 MCP 协议直接向 NetSuite 的 REST 端点发起请求NetSuite 侧用 OAuth 2.0 鉴权返回结构化结果AI 拿到后直接推理。它的技术底座是 NetSuite 的 SuiteTalk REST API 加一层 MCP 适配。你在 NetSuite 里创建一个 Integration集成勾选 MCP 相关的 scope拿到 Client ID 和 Secret然后走 OAuth 2.0 授权码 PKCE 流程换 Access Token。AI 客户端这边通过mcp-remote这个桥接工具把远程 MCP 服务挂到本地的mcp.json里客户端启动时就会拉起这个服务之后你在 Chat 里提问AI 会自动调用 MCP 暴露的 tools。这里有个关键认知MCP Tools 不是让 AI 直接连你的生产数据库而是走 NetSuite 官方 REST 接口权限受角色控制。你给哪个员工分配了MCP Server Connection权限他才能通过 AI 查到对应数据。这一点对实施顾问特别重要因为客户最怕的就是AI 把数据全看光了。我实测下来从零到跑通第一条查询熟练的话 15 分钟够用。但中间有几个卡点scope 选错、redirect URI 配错、PKCE 的 code_verifier 没保存、mcp.json 路径找错。下面我把每一步拆开配置直接可复制。2. TaoToken 前置给 AI 客户端准备一个稳定的模型入口在配 NetSuite 侧之前先解决 AI 客户端这边的模型接入问题。Cursor、Cline 这类工具本身要调大模型如果你用的是官方直连网络波动和额度限制会直接影响调试体验。我的做法是先把模型入口统一到一个兼容 OpenAI 协议的中转上TaoToken 就是干这个的。它的作用很简单提供一个 OpenAI 兼容的 Base URL 和 API Key你在 Cursor、Cline、Codex 里把 Base URL 指过去模型请求就走这条通道。对 NetSuite MCP 集成来说这一步不是必须的但它能让你的 AI 客户端在调试 MCP 工具调用时更稳定——因为 MCP 的调试过程需要反复发请求看返回模型端如果频繁超时你根本分不清是 MCP 配置错了还是模型没响应。具体怎么拿 Key访问 https://taotoken.net/api-keys 登录后创建一个 API Key复制保存。Base URL 用https://taotoken.net/api注意这个地址不带任何查询参数。模型 ID 按你需要的填比如claude-sonnet-4-5或gpt-4o具体可用列表在 https://taotoken.net/doc 里查。如果你是要长期跑编码和 Agent 任务建议直接上 Coding Plan额度更划算地址是 https://taotoken.net/coding-plan 。只是想先验证模型通不通用模型对话页面 https://taotoken.net/chat 发一条消息就行。这里要强调一个配置原则Base URL、API Key、Model ID 这三件套必须成套出现。你在 Cursor 的模型设置里填了 Base URL 和 Key但 Model ID 填了个不存在的名字请求会直接 404。后面第五节我会专门讲这类报错怎么排查。TaoToken 在这里的角色是模型通道不是NetSuite 通道。NetSuite 的数据请求走的是 NetSuite 自己的 OAuth 和 REST 端点两者不要混。你可以在同一个 Cursor 里同时配 TaoToken 作为模型提供方、配 NetSuite MCP 作为工具提供方各走各的。3. 可复制配置NetSuite 集成 mcp.json 完整片段这一节是核心我按顺序给配置。3.1 NetSuite 侧创建 Integration登录 NetSuite路径是 Setup → Integration → Manage Integrations → New。关键配置项Name随便起比如AI MCP ConnectorScope只勾NetSuite AI Connector Service别多勾Authorization Code Grant勾上Public Client勾上因为 PKCE 流程不需要 client secret 参与换 token保存后会弹出 Client ID 和 Client Secret只显示一次立刻复制到本地。注意虽然叫 Public Client但 Client ID 还是要填进脚本。然后去给员工分配权限。路径是 Setup → Users/Roles → Manage Users找到你要用来跑 MCP 的员工在 Access → Roles 里确保角色包含这两条全局权限Log in using OAuth 2.0 Access TokensMCP Server Connection少了第一条OAuth 授权页会直接拒绝少了第二条MCP 服务连上后调 tools 会返回权限错误。3.2 本地 PKCE 换 Token 脚本把下面这段保存为ns-mcp-token.js。这是官方 PKCE 流程的最小封装跨平台依赖 Node.js 内置模块不用额外装包。/** * NetSuite OAuth 2.0 PKCE Token Generator for MCP Integration * 用法: node ns-mcp-token.js [path-to-mcp.json] */ const crypto require(crypto); const fs require(fs).promises; const path require(path); const os require(os); const { spawn } require(child_process); const readline require(readline); const CLIENT_ID 你的ClientID; const REDIRECT_URI 你的RedirectURI; const SCOPE mcp; class NetSuiteTokenGenerator { constructor(mcpJsonPath) { this.mcpJsonPath mcpJsonPath || this.findCursorMcpJson(); this.rl readline.createInterface({ input: process.stdin, output: process.stdout }); } findCursorMcpJson() { const platform process.platform; const homeDir os.homedir(); let possiblePaths []; if (platform win32) { possiblePaths [ path.join(homeDir, AppData, Roaming, Cursor, User, globalStorage, rooveterinaryinc.roo-cline, settings, cline_mcp_settings.json), path.join(homeDir, AppData, Roaming, Cursor, User, mcp.json), path.join(homeDir, .cursor, mcp.json), path.join(process.cwd(), mcp.json) ]; } else if (platform darwin) { possiblePaths [ path.join(homeDir, Library, Application Support, Cursor, User, globalStorage, rooveterinaryinc.roo-cline, settings, cline_mcp_settings.json), path.join(homeDir, Library, Application Support, Cursor, User, mcp.json), path.join(homeDir, .cursor, mcp.json), path.join(process.cwd(), mcp.json) ]; } else { possiblePaths [ path.join(homeDir, .config, Cursor, User, globalStorage, rooveterinaryinc.roo-cline, settings, cline_mcp_settings.json), path.join(homeDir, .config, Cursor, User, mcp.json), path.join(homeDir, .cursor, mcp.json), path.join(process.cwd(), mcp.json) ]; } for (const p of possiblePaths) { try { require(fs).accessSync(p, require(fs).constants.F_OK); console.log(Found mcp.json at: ${p}); return p; } catch (e) { continue; } } const defaultPath platform win32 ? path.join(homeDir, AppData, Roaming, Cursor, User, mcp.json) : platform darwin ? path.join(homeDir, Library, Application Support, Cursor, User, mcp.json) : path.join(homeDir, .config, Cursor, User, mcp.json); console.log(Will create new mcp.json at: ${defaultPath}); return defaultPath; } base64url(buffer) { return Buffer.from(buffer).toString(base64).replace(/\/g, -).replace(/\//g, _).replace(/$/, ); } randomString(bytes 32) { return this.base64url(crypto.randomBytes(bytes)); } async sha256(input) { return this.base64url(crypto.createHash(sha256).update(input).digest()); } prompt(q) { return new Promise((resolve) this.rl.question(q, resolve)); } async openBrowser(url) { const platform process.platform; if (platform win32) { try { spawn(rundll32, [url.dll,FileProtocolHandler, url], { detached: true, stdio: ignore }); } catch (e) {} return; } const command platform darwin ? open : xdg-open; try { spawn(command, [url], { detached: true, stdio: ignore }); } catch (e) {} } async exchangeCodeForToken(accountNumber, code, codeVerifier) { const tokenUrl https://${accountNumber}.suitetalk.api.netsuite.com/services/rest/auth/oauth2/v1/token; const body new URLSearchParams({ grant_type: authorization_code, code, redirect_uri: REDIRECT_URI, client_id: CLIENT_ID, code_verifier: codeVerifier }); const response await fetch(tokenUrl, { method: POST, headers: { Content-Type: application/x-www-form-urlencoded }, body: body.toString() }); if (!response.ok) { const errorText await response.text(); throw new Error(Token request failed: ${response.status} - ${errorText}); } return await response.json(); } async updateMcpJson(accessToken, refreshToken, accountNumber) { const serverName ns-mcp-tools-remote; const mcpUrl https://${accountNumber}.suitetalk.api.netsuite.com/services/mcp/v1/all; try { const mcpContent await fs.readFile(this.mcpJsonPath, utf8); const mcpConfig JSON.parse(mcpContent); if (!mcpConfig.mcpServers) mcpConfig.mcpServers {}; if (mcpConfig.mcpServers[serverName]) { const serverConfig mcpConfig.mcpServers[serverName]; let tokenUpdated false; if (serverConfig.args Array.isArray(serverConfig.args)) { for (let i 0; i serverConfig.args.length; i) { const arg serverConfig.args[i]; if (typeof arg string arg.startsWith(Authorization: Bearer )) { serverConfig.args[i] Authorization: Bearer ${accessToken}; tokenUpdated true; break; } } } if (!tokenUpdated) console.log(No Authorization Bearer found in existing args); } else { mcpConfig.mcpServers[serverName] { command: npx, args: [mcp-remote, mcpUrl, --header, Authorization: Bearer ${accessToken}] }; } await fs.writeFile(this.mcpJsonPath, JSON.stringify(mcpConfig, null, 2), utf8); console.log(Updated ${this.mcpJsonPath}); return true; } catch (error) { if (error.code ENOENT) { const mcpDir path.dirname(this.mcpJsonPath); try { await fs.mkdir(mcpDir, { recursive: true }); } catch (e) {} const newConfig { mcpServers: { ns-mcp-tools-remote: { command: npx, args: [mcp-remote, mcpUrl, --header, Authorization: Bearer ${accessToken}] } } }; await fs.writeFile(this.mcpJsonPath, JSON.stringify(newConfig, null, 2), utf8); return true; } throw error; } } async generateToken() { try { console.log(NetSuite MCP Token Generator); const accountNumber await this.prompt(Enter NetSuite account number (e.g. TD12345): ); if (!accountNumber) throw new Error(Account number is required); const state this.randomString(16); const codeVerifier this.randomString(64); const codeChallenge await this.sha256(codeVerifier); const authUrl https://${accountNumber}.app.netsuite.com/app/login/oauth2/authorize.nl; const params new URLSearchParams({ response_type: code, client_id: CLIENT_ID, redirect_uri: REDIRECT_URI, scope: SCOPE, state, code_challenge: codeChallenge, code_challenge_method: S256 }); const fullAuthUrl ${authUrl}?${params.toString()}; console.log(Opening authorization URL...); console.log(fullAuthUrl); await this.openBrowser(fullAuthUrl); const redirectedUrl await this.prompt(Paste the redirected URL: ); if (!redirectedUrl) throw new Error(Redirected URL is required); const url new URL(redirectedUrl.trim()); const returnedState url.searchParams.get(state); const code url.searchParams.get(code); if (!code) throw new Error(Could not find authorization code in the URL); if (returnedState ! state) throw new Error(State parameter mismatch); const tokenData await this.exchangeCodeForToken(accountNumber, code, codeVerifier); console.log(Success! Received tokens); await this.updateMcpJson(tokenData.access_token, tokenData.refresh_token, accountNumber); console.log(Raw Access Token:); console.log(tokenData.access_token); } catch (error) { console.error(Error:, error.message); process.exit(1); } finally { this.rl.close(); } } } const mcpJsonPath process.argv[2]; const generator new NetSuiteTokenGenerator(mcpJsonPath); generator.generateToken();把CLIENT_ID和REDIRECT_URI换成你自己的。Redirect URI 在 NetSuite Integration 里配置随便填一个你控制的地址即可比如http://localhost:3000/callback因为 PKCE 流程最后是手工复制 URL不依赖真实回调。3.3 mcp.json 最终形态脚本跑完后Cursor 的mcp.json里会多出这段。你也可以手工写{ mcpServers: { ns-mcp-tools-remote: { command: npx, args: [ mcp-remote, https://TD12345.suitetalk.api.netsuite.com/services/mcp/v1/all, --header, Authorization: Bearer eyJraWQiOi... ] } } }注意TD12345换成你的 account numberBearer 后面是脚本输出的 Access Token。这个 token 有有效期过期后重跑脚本即可。4. 验证请求从 Cursor 触发一次真实查询配置写完后重启 Cursor进 Settings → MCP应该能看到ns-mcp-tools-remote显示为在线绿色。如果显示红色或一直转圈先看第五节。验证分两步。第一步确认 MCP 服务本身通了。在 Cursor 的 Chat 里切到 Agent 模式输入列出当前 NetSuite 账户里可用的 MCP tools正常情况下AI 会调用 MCP 的 list tools 接口返回一串工具名比如search_records、get_record、run_suiteql之类。这一步能过说明 OAuth token 有效、MCP 端点可达。第二步跑一个真实业务查询。输入截止到 2025-11-10有多少货品出现负库存把批次号、负值列出来。AI 会自动选择对应的 tool构造查询参数向 NetSuite 发请求。返回结果类似批次号货品负库存数量LOT-2025-0891SKU-4421-12LOT-2025-0903SKU-1187-5如果返回的是空数组不一定是配置错了可能是你的账户里确实没有负库存。换个查询验证比如本季度哪些客户回款逾期超过 30 天或者昨晚跑完的销售订单批导有哪些行没有成功创建 Item Fulfillment这两个查询覆盖了不同的 tool 调用路径一个偏财务、一个偏订单履约。都能返回结构化结果说明集成方案可用。这里有个细节AI 调用 MCP tool 时返回的是 JSONAI 再把它转成自然语言或表格。你可以在 Cursor 的 Agent 面板里看到 tool call 的原始请求和响应调试时很有用。如果 AI 说我无法访问 NetSuite先看它有没有真的发起 tool call还是直接放弃了。5. 本篇常见错排查401、local proxy failed、reading choices这一节按报错原文对照都是我实际踩过的。401 Unauthorized / invalid_token最常见。原因有三个。一是 Access Token 过期重跑ns-mcp-token.js换新的。二是 Client ID 填错检查脚本里的CLIENT_ID和 NetSuite Integration 里的是否一致。三是 scope 不对NetSuite 侧 Integration 的 scope 必须包含NetSuite AI Connector Service脚本里的SCOPE必须是mcp两者要匹配。local proxy failed / ECONNREFUSEDmcp-remote启动失败。先确认 Node.js 版本 ≥ 18因为脚本用了内置fetch。然后手动在终端跑一次npx mcp-remote https://你的account.suitetalk.api.netsuite.com/services/mcp/v1/all --header Authorization: Bearer 你的token看报什么错。如果是npx找不到包检查网络能不能访问 npm registry。如果是连接超时检查 NetSuite 账户的 REST 端点是否对你的网络开放。reading choices of undefined这个报错通常出现在模型端不是 MCP 端。意思是 AI 客户端收到了一个不符合 OpenAI 格式的响应解析choices字段时炸了。原因一般是 Base URL 配错或者 Model ID 填了个不存在的名字。检查你的 TaoToken 配置Base URL 是https://taotoken.net/apiModel ID 从 https://taotoken.net/doc 里选一个真实存在的。三件套Base URL Key Model ID必须成套缺一个或错一个都会出这个错。OAuth 授权页报 invalid_clientClient ID 不对或者 Integration 的 Authorization Code Grant 没勾。回 NetSuite 检查 Integration 配置。授权后回调页报 state mismatch脚本里的 state 校验失败通常是复制 URL 时漏了参数或者浏览器缓存了旧的授权页。重新跑脚本用无痕窗口完成授权。MCP 显示在线但调 tool 返回 permission denied员工权限没配全。回 NetSuite 确认该员工的角色包含Log in using OAuth 2.0 Access Tokens和MCP Server Connection两条全局权限。token 换成功但 mcp.json 没更新脚本找不到 mcp.json 路径。手动指定路径node ns-mcp-token.js /path/to/your/mcp.json。Windows 下路径用双引号包起来。排查顺序建议先确认模型端通用 TaoToken 的模型对话页面发一条消息再确认 MCP 服务端通终端手动跑 mcp-remote最后确认 NetSuite 权限。三层分开验比一锅乱炖快得多。6. 把 AI 接进 NetSuite 之后下一步怎么走跑通最小闭环后你可以做的事比想象中多。我列几个实际用过的场景。第一个是批量数据核对。以前财务对账要导出两张表手工比对现在直接问 AI把本月所有已开票但未收款的订单列出来按客户分组。AI 调 MCP 拿数据直接给结果。第二个是异常监控。你可以写一个定时任务每天让 AI 查一次负库存逾期应收未履约订单有异常就发通知。MCP 的 tool 调用是标准化的接自动化流程很容易。第三个是给非技术同事用。实施顾问可以把配好的 Cursor 或 Claude 客户端交给业务同事他们不需要懂 SuiteQL用中文问就行。权限还是走 NetSuite 角色控制数据安全边界不变。如果你要长期跑这类 Agent 任务模型端的额度消耗会比较大建议用 Coding Plan地址是 https://taotoken.net/coding-plan 。只是偶尔查数据用 API Keys 按量付费就够地址是 https://taotoken.net/api-keys 。接入文档在 https://taotoken.net/doc 配置细节都在里面。最后说一个我踩过的坑Access Token 的有效期不长如果你把 mcp.json 提交到了 Git 仓库token 会泄露。正确做法是把 mcp.json 加进.gitignore或者用环境变量注入 token。脚本里我留了手工配置的入口你可以把 token 存到系统环境变量mcp.json 里引用变量名这样更安全。集成方案能不能用跑通第四节那两个查询就知道了。能返回结构化结果说明整条链路是通的剩下的就是按业务场景扩展 tool 调用。 
长河君 · 2026/10/3 19:29:58 · 阅读 1.2k NetSuite MCP Tools 实战：把 AI 集成到 NetSuite 的 App 配置与验证
1. NetSuite 接 AI 的真实痛点为什么 MCP Tools 值得折腾NetSuite MCP Tools 是 NetSuite 官方在 2025 年 9 月发布的 Model Context Protocol 标准工具集它能让 Cursor、Claude、Copilot 这类主流 AI 客户端直接读取 NetSuite 里的业务数据用一句自然语言就能查库存、查逾期应收、查订单履约状态不用写 SuiteQL也不用写 SuiteScript。适合谁需要在 NetSuite 上做二次开发的工程师、实施顾问以及被导出 CSV 再喂给 AI折磨过的财务和运营同学。我先说清楚它解决的是什么问题。传统做法里你想让 AI 帮你分析 NetSuite 数据路径通常是登录 NetSuite → 跑 Saved Search → 导出 Excel → 上传给 AI → 等它分析。这条链路有三个坑数据是快照不是实时导出字段要手工对齐敏感数据一旦落到本地文件就有合规风险。MCP Tools 把这条链路砍成一步——AI 客户端通过 MCP 协议直接向 NetSuite 的 REST 端点发起请求NetSuite 侧用 OAuth 2.0 鉴权返回结构化结果AI 拿到后直接推理。它的技术底座是 NetSuite 的 SuiteTalk REST API 加一层 MCP 适配。你在 NetSuite 里创建一个 Integration集成勾选 MCP 相关的 scope拿到 Client ID 和 Secret然后走 OAuth 2.0 授权码 PKCE 流程换 Access Token。AI 客户端这边通过mcp-remote这个桥接工具把远程 MCP 服务挂到本地的mcp.json里客户端启动时就会拉起这个服务之后你在 Chat 里提问AI 会自动调用 MCP 暴露的 tools。这里有个关键认知MCP Tools 不是让 AI 直接连你的生产数据库而是走 NetSuite 官方 REST 接口权限受角色控制。你给哪个员工分配了MCP Server Connection权限他才能通过 AI 查到对应数据。这一点对实施顾问特别重要因为客户最怕的就是AI 把数据全看光了。我实测下来从零到跑通第一条查询熟练的话 15 分钟够用。但中间有几个卡点scope 选错、redirect URI 配错、PKCE 的 code_verifier 没保存、mcp.json 路径找错。下面我把每一步拆开配置直接可复制。2. TaoToken 前置给 AI 客户端准备一个稳定的模型入口在配 NetSuite 侧之前先解决 AI 客户端这边的模型接入问题。Cursor、Cline 这类工具本身要调大模型如果你用的是官方直连网络波动和额度限制会直接影响调试体验。我的做法是先把模型入口统一到一个兼容 OpenAI 协议的中转上TaoToken 就是干这个的。它的作用很简单提供一个 OpenAI 兼容的 Base URL 和 API Key你在 Cursor、Cline、Codex 里把 Base URL 指过去模型请求就走这条通道。对 NetSuite MCP 集成来说这一步不是必须的但它能让你的 AI 客户端在调试 MCP 工具调用时更稳定——因为 MCP 的调试过程需要反复发请求看返回模型端如果频繁超时你根本分不清是 MCP 配置错了还是模型没响应。具体怎么拿 Key访问 https://taotoken.net/api-keys 登录后创建一个 API Key复制保存。Base URL 用https://taotoken.net/api注意这个地址不带任何查询参数。模型 ID 按你需要的填比如claude-sonnet-4-5或gpt-4o具体可用列表在 https://taotoken.net/doc 里查。如果你是要长期跑编码和 Agent 任务建议直接上 Coding Plan额度更划算地址是 https://taotoken.net/coding-plan 。只是想先验证模型通不通用模型对话页面 https://taotoken.net/chat 发一条消息就行。这里要强调一个配置原则Base URL、API Key、Model ID 这三件套必须成套出现。你在 Cursor 的模型设置里填了 Base URL 和 Key但 Model ID 填了个不存在的名字请求会直接 404。后面第五节我会专门讲这类报错怎么排查。TaoToken 在这里的角色是模型通道不是NetSuite 通道。NetSuite 的数据请求走的是 NetSuite 自己的 OAuth 和 REST 端点两者不要混。你可以在同一个 Cursor 里同时配 TaoToken 作为模型提供方、配 NetSuite MCP 作为工具提供方各走各的。3. 可复制配置NetSuite 集成 mcp.json 完整片段这一节是核心我按顺序给配置。3.1 NetSuite 侧创建 Integration登录 NetSuite路径是 Setup → Integration → Manage Integrations → New。关键配置项Name随便起比如AI MCP ConnectorScope只勾NetSuite AI Connector Service别多勾Authorization Code Grant勾上Public Client勾上因为 PKCE 流程不需要 client secret 参与换 token保存后会弹出 Client ID 和 Client Secret只显示一次立刻复制到本地。注意虽然叫 Public Client但 Client ID 还是要填进脚本。然后去给员工分配权限。路径是 Setup → Users/Roles → Manage Users找到你要用来跑 MCP 的员工在 Access → Roles 里确保角色包含这两条全局权限Log in using OAuth 2.0 Access TokensMCP Server Connection少了第一条OAuth 授权页会直接拒绝少了第二条MCP 服务连上后调 tools 会返回权限错误。3.2 本地 PKCE 换 Token 脚本把下面这段保存为ns-mcp-token.js。这是官方 PKCE 流程的最小封装跨平台依赖 Node.js 内置模块不用额外装包。/** * NetSuite OAuth 2.0 PKCE Token Generator for MCP Integration * 用法: node ns-mcp-token.js [path-to-mcp.json] */ const crypto require(crypto); const fs require(fs).promises; const path require(path); const os require(os); const { spawn } require(child_process); const readline require(readline); const CLIENT_ID 你的ClientID; const REDIRECT_URI 你的RedirectURI; const SCOPE mcp; class NetSuiteTokenGenerator { constructor(mcpJsonPath) { this.mcpJsonPath mcpJsonPath || this.findCursorMcpJson(); this.rl readline.createInterface({ input: process.stdin, output: process.stdout }); } findCursorMcpJson() { const platform process.platform; const homeDir os.homedir(); let possiblePaths []; if (platform win32) { possiblePaths [ path.join(homeDir, AppData, Roaming, Cursor, User, globalStorage, rooveterinaryinc.roo-cline, settings, cline_mcp_settings.json), path.join(homeDir, AppData, Roaming, Cursor, User, mcp.json), path.join(homeDir, .cursor, mcp.json), path.join(process.cwd(), mcp.json) ]; } else if (platform darwin) { possiblePaths [ path.join(homeDir, Library, Application Support, Cursor, User, globalStorage, rooveterinaryinc.roo-cline, settings, cline_mcp_settings.json), path.join(homeDir, Library, Application Support, Cursor, User, mcp.json), path.join(homeDir, .cursor, mcp.json), path.join(process.cwd(), mcp.json) ]; } else { possiblePaths [ path.join(homeDir, .config, Cursor, User, globalStorage, rooveterinaryinc.roo-cline, settings, cline_mcp_settings.json), path.join(homeDir, .config, Cursor, User, mcp.json), path.join(homeDir, .cursor, mcp.json), path.join(process.cwd(), mcp.json) ]; } for (const p of possiblePaths) { try { require(fs).accessSync(p, require(fs).constants.F_OK); console.log(Found mcp.json at: ${p}); return p; } catch (e) { continue; } } const defaultPath platform win32 ? path.join(homeDir, AppData, Roaming, Cursor, User, mcp.json) : platform darwin ? path.join(homeDir, Library, Application Support, Cursor, User, mcp.json) : path.join(homeDir, .config, Cursor, User, mcp.json); console.log(Will create new mcp.json at: ${defaultPath}); return defaultPath; } base64url(buffer) { return Buffer.from(buffer).toString(base64).replace(/\/g, -).replace(/\//g, _).replace(/$/, ); } randomString(bytes 32) { return this.base64url(crypto.randomBytes(bytes)); } async sha256(input) { return this.base64url(crypto.createHash(sha256).update(input).digest()); } prompt(q) { return new Promise((resolve) this.rl.question(q, resolve)); } async openBrowser(url) { const platform process.platform; if (platform win32) { try { spawn(rundll32, [url.dll,FileProtocolHandler, url], { detached: true, stdio: ignore }); } catch (e) {} return; } const command platform darwin ? open : xdg-open; try { spawn(command, [url], { detached: true, stdio: ignore }); } catch (e) {} } async exchangeCodeForToken(accountNumber, code, codeVerifier) { const tokenUrl https://${accountNumber}.suitetalk.api.netsuite.com/services/rest/auth/oauth2/v1/token; const body new URLSearchParams({ grant_type: authorization_code, code, redirect_uri: REDIRECT_URI, client_id: CLIENT_ID, code_verifier: codeVerifier }); const response await fetch(tokenUrl, { method: POST, headers: { Content-Type: application/x-www-form-urlencoded }, body: body.toString() }); if (!response.ok) { const errorText await response.text(); throw new Error(Token request failed: ${response.status} - ${errorText}); } return await response.json(); } async updateMcpJson(accessToken, refreshToken, accountNumber) { const serverName ns-mcp-tools-remote; const mcpUrl https://${accountNumber}.suitetalk.api.netsuite.com/services/mcp/v1/all; try { const mcpContent await fs.readFile(this.mcpJsonPath, utf8); const mcpConfig JSON.parse(mcpContent); if (!mcpConfig.mcpServers) mcpConfig.mcpServers {}; if (mcpConfig.mcpServers[serverName]) { const serverConfig mcpConfig.mcpServers[serverName]; let tokenUpdated false; if (serverConfig.args Array.isArray(serverConfig.args)) { for (let i 0; i serverConfig.args.length; i) { const arg serverConfig.args[i]; if (typeof arg string arg.startsWith(Authorization: Bearer )) { serverConfig.args[i] Authorization: Bearer ${accessToken}; tokenUpdated true; break; } } } if (!tokenUpdated) console.log(No Authorization Bearer found in existing args); } else { mcpConfig.mcpServers[serverName] { command: npx, args: [mcp-remote, mcpUrl, --header, Authorization: Bearer ${accessToken}] }; } await fs.writeFile(this.mcpJsonPath, JSON.stringify(mcpConfig, null, 2), utf8); console.log(Updated ${this.mcpJsonPath}); return true; } catch (error) { if (error.code ENOENT) { const mcpDir path.dirname(this.mcpJsonPath); try { await fs.mkdir(mcpDir, { recursive: true }); } catch (e) {} const newConfig { mcpServers: { ns-mcp-tools-remote: { command: npx, args: [mcp-remote, mcpUrl, --header, Authorization: Bearer ${accessToken}] } } }; await fs.writeFile(this.mcpJsonPath, JSON.stringify(newConfig, null, 2), utf8); return true; } throw error; } } async generateToken() { try { console.log(NetSuite MCP Token Generator); const accountNumber await this.prompt(Enter NetSuite account number (e.g. TD12345): ); if (!accountNumber) throw new Error(Account number is required); const state this.randomString(16); const codeVerifier this.randomString(64); const codeChallenge await this.sha256(codeVerifier); const authUrl https://${accountNumber}.app.netsuite.com/app/login/oauth2/authorize.nl; const params new URLSearchParams({ response_type: code, client_id: CLIENT_ID, redirect_uri: REDIRECT_URI, scope: SCOPE, state, code_challenge: codeChallenge, code_challenge_method: S256 }); const fullAuthUrl ${authUrl}?${params.toString()}; console.log(Opening authorization URL...); console.log(fullAuthUrl); await this.openBrowser(fullAuthUrl); const redirectedUrl await this.prompt(Paste the redirected URL: ); if (!redirectedUrl) throw new Error(Redirected URL is required); const url new URL(redirectedUrl.trim()); const returnedState url.searchParams.get(state); const code url.searchParams.get(code); if (!code) throw new Error(Could not find authorization code in the URL); if (returnedState ! state) throw new Error(State parameter mismatch); const tokenData await this.exchangeCodeForToken(accountNumber, code, codeVerifier); console.log(Success! Received tokens); await this.updateMcpJson(tokenData.access_token, tokenData.refresh_token, accountNumber); console.log(Raw Access Token:); console.log(tokenData.access_token); } catch (error) { console.error(Error:, error.message); process.exit(1); } finally { this.rl.close(); } } } const mcpJsonPath process.argv[2]; const generator new NetSuiteTokenGenerator(mcpJsonPath); generator.generateToken();把CLIENT_ID和REDIRECT_URI换成你自己的。Redirect URI 在 NetSuite Integration 里配置随便填一个你控制的地址即可比如http://localhost:3000/callback因为 PKCE 流程最后是手工复制 URL不依赖真实回调。3.3 mcp.json 最终形态脚本跑完后Cursor 的mcp.json里会多出这段。你也可以手工写{ mcpServers: { ns-mcp-tools-remote: { command: npx, args: [ mcp-remote, https://TD12345.suitetalk.api.netsuite.com/services/mcp/v1/all, --header, Authorization: Bearer eyJraWQiOi... ] } } }注意TD12345换成你的 account numberBearer 后面是脚本输出的 Access Token。这个 token 有有效期过期后重跑脚本即可。4. 验证请求从 Cursor 触发一次真实查询配置写完后重启 Cursor进 Settings → MCP应该能看到ns-mcp-tools-remote显示为在线绿色。如果显示红色或一直转圈先看第五节。验证分两步。第一步确认 MCP 服务本身通了。在 Cursor 的 Chat 里切到 Agent 模式输入列出当前 NetSuite 账户里可用的 MCP tools正常情况下AI 会调用 MCP 的 list tools 接口返回一串工具名比如search_records、get_record、run_suiteql之类。这一步能过说明 OAuth token 有效、MCP 端点可达。第二步跑一个真实业务查询。输入截止到 2025-11-10有多少货品出现负库存把批次号、负值列出来。AI 会自动选择对应的 tool构造查询参数向 NetSuite 发请求。返回结果类似批次号货品负库存数量LOT-2025-0891SKU-4421-12LOT-2025-0903SKU-1187-5如果返回的是空数组不一定是配置错了可能是你的账户里确实没有负库存。换个查询验证比如本季度哪些客户回款逾期超过 30 天或者昨晚跑完的销售订单批导有哪些行没有成功创建 Item Fulfillment这两个查询覆盖了不同的 tool 调用路径一个偏财务、一个偏订单履约。都能返回结构化结果说明集成方案可用。这里有个细节AI 调用 MCP tool 时返回的是 JSONAI 再把它转成自然语言或表格。你可以在 Cursor 的 Agent 面板里看到 tool call 的原始请求和响应调试时很有用。如果 AI 说我无法访问 NetSuite先看它有没有真的发起 tool call还是直接放弃了。5. 本篇常见错排查401、local proxy failed、reading choices这一节按报错原文对照都是我实际踩过的。401 Unauthorized / invalid_token最常见。原因有三个。一是 Access Token 过期重跑ns-mcp-token.js换新的。二是 Client ID 填错检查脚本里的CLIENT_ID和 NetSuite Integration 里的是否一致。三是 scope 不对NetSuite 侧 Integration 的 scope 必须包含NetSuite AI Connector Service脚本里的SCOPE必须是mcp两者要匹配。local proxy failed / ECONNREFUSEDmcp-remote启动失败。先确认 Node.js 版本 ≥ 18因为脚本用了内置fetch。然后手动在终端跑一次npx mcp-remote https://你的account.suitetalk.api.netsuite.com/services/mcp/v1/all --header Authorization: Bearer 你的token看报什么错。如果是npx找不到包检查网络能不能访问 npm registry。如果是连接超时检查 NetSuite 账户的 REST 端点是否对你的网络开放。reading choices of undefined这个报错通常出现在模型端不是 MCP 端。意思是 AI 客户端收到了一个不符合 OpenAI 格式的响应解析choices字段时炸了。原因一般是 Base URL 配错或者 Model ID 填了个不存在的名字。检查你的 TaoToken 配置Base URL 是https://taotoken.net/apiModel ID 从 https://taotoken.net/doc 里选一个真实存在的。三件套Base URL Key Model ID必须成套缺一个或错一个都会出这个错。OAuth 授权页报 invalid_clientClient ID 不对或者 Integration 的 Authorization Code Grant 没勾。回 NetSuite 检查 Integration 配置。授权后回调页报 state mismatch脚本里的 state 校验失败通常是复制 URL 时漏了参数或者浏览器缓存了旧的授权页。重新跑脚本用无痕窗口完成授权。MCP 显示在线但调 tool 返回 permission denied员工权限没配全。回 NetSuite 确认该员工的角色包含Log in using OAuth 2.0 Access Tokens和MCP Server Connection两条全局权限。token 换成功但 mcp.json 没更新脚本找不到 mcp.json 路径。手动指定路径node ns-mcp-token.js /path/to/your/mcp.json。Windows 下路径用双引号包起来。排查顺序建议先确认模型端通用 TaoToken 的模型对话页面发一条消息再确认 MCP 服务端通终端手动跑 mcp-remote最后确认 NetSuite 权限。三层分开验比一锅乱炖快得多。6. 把 AI 接进 NetSuite 之后下一步怎么走跑通最小闭环后你可以做的事比想象中多。我列几个实际用过的场景。第一个是批量数据核对。以前财务对账要导出两张表手工比对现在直接问 AI把本月所有已开票但未收款的订单列出来按客户分组。AI 调 MCP 拿数据直接给结果。第二个是异常监控。你可以写一个定时任务每天让 AI 查一次负库存逾期应收未履约订单有异常就发通知。MCP 的 tool 调用是标准化的接自动化流程很容易。第三个是给非技术同事用。实施顾问可以把配好的 Cursor 或 Claude 客户端交给业务同事他们不需要懂 SuiteQL用中文问就行。权限还是走 NetSuite 角色控制数据安全边界不变。如果你要长期跑这类 Agent 任务模型端的额度消耗会比较大建议用 Coding Plan地址是 https://taotoken.net/coding-plan 。只是偶尔查数据用 API Keys 按量付费就够地址是 https://taotoken.net/api-keys 。接入文档在 https://taotoken.net/doc 配置细节都在里面。最后说一个我踩过的坑Access Token 的有效期不长如果你把 mcp.json 提交到了 Git 仓库token 会泄露。正确做法是把 mcp.json 加进.gitignore或者用环境变量注入 token。脚本里我留了手工配置的入口你可以把 token 存到系统环境变量mcp.json 里引用变量名这样更安全。集成方案能不能用跑通第四节那两个查询就知道了。能返回结构化结果说明整条链路是通的剩下的就是按业务场景扩展 tool 调用。