MCP Oauth Server

🚀 實現可流式 HTTP 服務器與客戶端的 OAuth 支持（無需 PKCE）

本項目實現了可流式 HTTP 服務器與客戶端的 OAuth 支持，無需使用 PKCE 技術。通過設備流程，為服務器和客戶端提供了安全、便捷的 OAuth 認證方式。

🚀 快速開始

克隆倉庫並安裝依賴

git clone <倉庫地址>
cd <倉庫目錄>
npm install

創建 OAuth 應用

轉到您的 GitHub 開發者設置（在設置下），創建一個 OAuth 應用。輸入“http://localhost”作為回調 URL（如果需要）。確保啟用“設備流”，並記錄下客戶端 ID 和客戶端密鑰。

設置環境變量

在本地開發環境中設置 GITHUB_CLIENT_ID 和 GITHUB_CLIENT_SECRET 環境變量。

啟動服務器

npx tsx server/index_streamable.ts

啟動客戶端

在另一個終端中啟動 MCP 客戶端。

npx tsx client/client.ts

✨ 主要特性

• 可流式 HTTP 服務器：具備 OAuth 支持，通過設備流程實現認證。
• 可流式 HTTP 客戶端：以無頭模式運行，支持 OAuth 認證。

📚 詳細文檔

OAuth 支持

在撰寫本文時，使用 MCP Inspector 測試具備 OAuth 支持的可流式 HTTP 服務器遇到了困難，因此選擇通過設備流程實現 OAuth。

典型基於瀏覽器的身份驗證流程

1. 客戶端請求連接：MCP 客戶端請求與 MCP 服務器建立連接。
2. 服務器授權：服務器通過 GitHubAuthProvider 授權客戶端（重定向到 GitHub）；一旦用戶授權所需的範圍，服務器的回調處理程序：
   • 從 GitHub 獲取訪問令牌，然後獲取用戶數據。
   • 在其令牌存儲中存儲訪問令牌和新的會話令牌。
   • 為客戶端生成臨時授權碼，並與新生成的會話令牌一起保存。
   • 將臨時授權碼重定向回客戶端。
3. 客戶端換取會話令牌：客戶端使用臨時授權碼換取會話令牌，用於後續請求。

基於設備的 OAuth 流程

希望將基於瀏覽器的身份驗證流程替換為基於設備的 OAuth 流程，該流程無需 PKCE，原因如下：

• 無需重定向或客戶端代碼處理。
• 設備代碼流本質上更安全：
  • 用戶打開 URL 並在 GitHub 頁面上直接輸入代碼。
  • 所有令牌交換都是服務器對服務器進行的。
  • 設備代碼本身短暫且只能由請求它的同一客戶端（我們的服務器）使用。
  • 只有用戶代碼從服務器傳遞到客戶端。

儘管沒有瀏覽器用於會話存儲，但可能仍需實現 MCP's OAuthServerProvider 目前需要的一些方法（例如 exchangeAuthorizationCode 和 challengeForAuthorizationCode）。