这可以吗？模型上下文协议中的身份验证与授权
💡
原文英文，约4100词，阅读约需15分钟。
📝
内容提要
本文介绍了如何保护MCP服务器免受未授权访问，以及MCP客户端与服务器的身份验证机制。MCP（模型上下文协议）是2024年发布的标准，旨在促进AI代理与服务之间的通信。文章重点讨论了使用OAuth 2.1协议的远程MCP服务器的身份验证和授权过程，这对MCP用户和开发者至关重要。
🎯
关键要点
- MCP（模型上下文协议）是2024年发布的标准，旨在促进AI代理与服务之间的通信。
- MCP服务器类似于REST API，提供标准化的远程访问资源、数据和功能。
- 文章讨论了如何保护MCP服务器免受未授权访问，以及MCP客户端与服务器的身份验证机制。
- MCP的身份验证和授权在传输层进行，支持两种传输技术：标准输入/输出（stdio）和可流式HTTP。
- 标准输入/输出传输不需要MCP客户端与MCP服务器之间的显式身份验证。
- 可流式HTTP传输使用OAuth 2.1协议进行身份验证和授权，适用于远程MCP服务器。
- MCP客户端在连接到MCP服务器时，首先会收到401未授权响应，并指向授权服务器的元数据。
- MCP客户端需要向授权服务器注册，以获取访问令牌，之后才能访问MCP服务器提供的数据和功能。
- MCP客户端在请求访问时必须包含有效的访问令牌，MCP服务器会验证该令牌。
- 如果访问令牌不包含所需的作用域，MCP服务器会要求增加作用域。
- MCP客户端可以请求刷新令牌，以便在访问令牌过期时无需重新进行完整的授权流程。
- MCP服务器的身份验证和授权逻辑应根据组织的具体需求进行设计。
- MCP的未来方向包括改进动态客户端注册、丰富授权请求和简化企业场景的令牌获取流程。
- MCP社区欢迎对协议的参与和反馈，鼓励用户加入相关讨论组和兴趣小组。
