MCP企业托管认证：Claude现可签发身份断言
内容提要
Supabase MCP服务器新增企业托管认证：即使身份提供商不支持MCP扩展，也可由Claude签发身份断言。组织管理员批准Claude并注册为签发者后，成员凭现有SSO身份即可使用，无需逐个授权。注意：移除成员需同时在Supabase和Claude中操作，且Supabase每个SSO提供商仅信任一个签发者。设置约需十分钟。
延伸解读
Claude 作为签发者：便利与安全边界
Claude 签发身份断言时，只检查成员是否属于 Claude 组织及其邮箱，不验证身份提供商的登录状态、多因素认证或 Supabase 的登录规则。这意味着安全性部分依赖 Claude 组织的成员管理。对于已启用 SSO 但身份提供商不支持 MCP 扩展的组织，这提供了一条快速通道，但需意识到认证链条的简化可能带来额外风险。
离职管理：需双端移除成员
由于 Claude 和 Supabase 都不再向身份提供商确认成员是否活跃，仅在身份提供商中禁用成员无法切断其访问。必须同时在 Supabase 组织和 Claude 组织中移除该成员。此外，已签发的令牌在过期前仍然有效，因此移除后可能存在短暂的时间窗口。组织应更新离职流程，确保双端操作。
单一签发者限制：切换需谨慎
Supabase 每个 SSO 提供商仅信任一个签发者。将 Claude 的签发者 URL 注册后，会替换原有身份提供商的 URL，导致 Supabase 拒绝原提供商签发的所有断言，包括其他使用该提供商进行托管授权的 AI 工具。若需回退，必须恢复原 URL。每个签发者 URL 也只能服务一个 Supabase 组织，多组织场景需分别配置。
Q&A
如果我的身份提供商不支持MCP企业托管授权扩展，还能为Supabase MCP服务器设置企业托管认证吗？
可以。Claude现在可以签发身份断言，因此即使身份提供商不支持该扩展，组织管理员批准Claude并注册为签发者后，成员仍可使用现有SSO身份访问Supabase。
Claude作为签发者时，成员使用Supabase还需要逐个授权吗？
不需要。组织管理员批准Claude并注册为签发者后，拥有匹配Supabase SSO身份的成员可以直接使用Supabase，无需每个成员单独授权。
Claude签发身份断言前会检查哪些信息？
Claude会检查两点：该人员是Claude组织的当前成员，以及其Claude账户使用的电子邮件地址。它不会确认身份提供商的登录、多因素认证或Supabase的登录规则。
Supabase收到Claude签发的断言后会进行哪些验证？
Supabase会验证三点：签名与注册的签发者匹配、成员属于组织且具有匹配的SSO身份、所有者或管理员已授权Claude。全部通过后，Supabase会签发短期访问令牌。
使用Claude作为签发者后，如何移除成员访问权限？
需要同时从Supabase组织和Claude组织中移除该成员。仅在身份提供商中禁用成员不再有效，因为Claude和Supabase不会向身份提供商确认成员是否活跃。已签发的令牌在过期前仍然有效。
设置Claude作为签发者需要多长时间？有哪些前提条件？
如果SSO已配置，设置大约需要十分钟。前提条件包括：Supabase组织的所有者或管理员、Claude组织的管理员，且每个成员至少通过SSO使用Claude中的电子邮件登录过Supabase一次。
Supabase每个SSO提供商可以信任几个签发者？更换签发者会有什么影响？
Supabase每个SSO提供商只信任一个签发者。将Claude的签发者URL替换身份提供商的URL后，Supabase会拒绝身份提供商签发的所有断言，直到恢复原始URL，这会影响其他使用该身份提供商进行托管授权的AI工具。
