为远程MCP客户端配置OAuth授权

目标

在不把令牌交给模型或日志的前提下连接需要OAuth的MCP服务。

步骤

1. 核对远程服务器、受众和授权元数据来自预期可信域名。 [mcp-oauth]
2. 用 OAuthClientProvider(server_url, client_metadata, storage, redirect_handler, callback_handler) 经授权服务器发现与PKCE授权码流程取token。 [mcp-oauth]
3. 把provider接到 httpx2.AsyncClient(auth=provider)，再传给Streamable HTTP transport；state与iss必须原样校验。 [mcp-oauth]
4. 将授权错误与资源权限拒绝分开处理，不把令牌写入对话或诊断输出。 [mcp-oauth]
5. 在测试租户验证授权、过期刷新和撤销；再检查日志没有凭据。 [mcp-oauth]

验证方式

确认客户端仅取得授权scope、过期处理符合预期，且令牌不进入模型上下文和日志。

故障处理

若授权失败，核对issuer、resource audience、redirect URI和scope；不要把token贴进提示。