Een client verbinden met een server-URL geeft nog geen toegang tot beschermde accountgegevens. OAuth laat de client gedelegeerde toegang aanvragen via een autorisatieserver, de dienst die het token uitgeeft.
De MCP-autorisatiespecificatie definieert deze flow voor HTTP-transporten. Autorisatie is optioneel voor MCP-implementaties. Lokale stdio-servers gebruiken een aparte credentialregeling.
Hoe vindt de client waar hij zich moet aanmelden?
De client leest de protected-resource-metadata van de MCP-server om zijn autorisatieserver te ontdekken.
Volgens de discoveryregels kan een server die metadata-URL meegeven in een WWW-Authenticate-header op een 401-response. Clients ondersteunen ook discovery via well-known-metadatapaden.
Het authorization_servers-veld in de metadata identificeert de beschikbare autorisatieservers. De client haalt de metadata van de geselecteerde server op om de endpoints en ondersteunde mogelijkheden te vinden.
Hoe identificeert de client zichzelf?
De client verkrijgt een client-ID via een registratiemechanisme dat de autorisatieserver ondersteunt.
De MCP-registratieregels geven de voorkeur aan bestaande vooraf geregistreerde clientinformatie wanneer die beschikbaar is. Anders kunnen clients Client ID Metadata Documents gebruiken als de server ondersteuning daarvoor adverteert.
Een Client ID Metadata Document is een JSON-document op een HTTPS-URL dat de client beschrijft. De URL fungeert als zijn client-ID.
Die regels markeren dynamic client registration als verouderd. Hiermee kan een client een ID aanvragen via een registratie-endpoint. De specificatie behoudt het mechanisme voor compatibiliteit met autorisatieservers die geen metadata-documentondersteuning hebben.
Hoe verkrijgt de client het token?
De client wisselt een authorization code in voor een access token nadat de autorisatieserver de grant heeft goedgekeurd.
De beveiligingsregels voor authorization codes vereisen PKCE, dat de uitwisseling bindt aan de client die deze heeft gestart. De client maakt een geheime verifier aan en stuurt een afgeleide challenge mee met zijn autorisatieverzoek. Bij het inwisselen van de code levert hij de verifier mee, wat helpt voorkomen dat een onderschepte code door een andere aanroeper wordt gebruikt.
Wat bepalen scopes en de doelresource?
Scopes beschrijven de gevraagde rechten. De doelresource identificeert de server waarvoor de client een token aanvraagt.
De scope-selectieregels instrueren clients om de scope-waarde uit de challenge te gebruiken wanneer die is meegegeven. Een client hoort de toegang aan te vragen die zijn operatie nodig heeft.
De client neemt de resource-parameter op in autorisatie- en tokenverzoeken. Het resulterende token stuurt hij mee in de Authorization-header bij beschermde HTTP-verzoeken. De ontvangende server controleert of het token voor hem is uitgegeven.
Toestemming om een tool aan te roepen betekent niet dat een specifieke aanroep overeenkomt met de taak van de gebruiker. De host beslist nog steeds of hij doorgaat met de voorgestelde actie.
Hoe autoriseer ik een client om Bird te gebruiken?
Je voegt de gehoste MCP-URL van Bird toe aan een compatibele client en voltooit de browseraanmelding.
De gedocumenteerde handshake van Bird gebruikt dynamic client registration. Die beschrijft de verbindingsflow van Bird los van het metadata-documentmechanisme dat de specificatie verkiest.
Kies op het toestemmingsscherm de werkruimte- of organisatierechten die je wilt delegeren. De grant is beperkt tot wat de client aanvraagt, wat je goedkeurt en wat je zelf hebt.
De weergegeven naam van de client is zelfverklaard, dus controleer of deze overeenkomt met de client die je hebt gestart. Je kunt de grant intrekken via Connected apps in je profiel.
Een tool kan zichtbaar blijven terwijl je grant geen rechten heeft om deze aan te roepen. Een geslaagde whoami-aanroep bevestigt de aangemelde identiteit. De gevraagde operatie heeft nog steeds eigen rechten nodig.
Bij een lokaal bird mcp-proces hergebruikt de server de opgeslagen login van de CLI. De installatiehandleiding voor MCP beschrijft dat aparte pad.