组类型
兴趣组使命声明
授权兴趣组是 MCP 授权工作的唯一正式场所。它汇集 MCP 实施者、身份提供商厂商和安全从业者，提出真实世界中的授权问题，决定这些问题是否值得解决以及是否属于 MCP 范畴，并为作者提供一个可靠的平台，用于展示 SEP、ext-auth 草案、原型和部署结果，以获得跨主题反馈。本章程定义工作范围；讨论和粗略共识在一个频道和一个定期会议中进行，产出物是草案和演示，而不是新的常设小组。范围
范围内
- 部署经验报告：实施者如何将当前授权规范（OAuth 2.1、RFC 9728 受保护资源元数据、RFC 7591 动态客户端注册、客户端 ID 元数据文档）与真实授权服务器集成，以及该规范在哪些方面存在不足
- 扩展互操作性报告：对 ext-auth 扩展进行独立实现端到端配对的结果（例如，通过企业管理授权 ID-JAG 交换连接 IdP、客户端和授权服务器），包括 IdP 能力缺口、变通方案和一致性场景输入
- 企业身份集成：将 MCP 服务器连接到企业 IdP（Okta、Entra ID、Ping、Keycloak 等）时的需求和摩擦点，包括 SSO、租户隔离和管理员同意流程
- 委派式和代理式访问：当 MCP 客户端通过代理或工具链进行操作时，关于代表他人进行令牌交换、下游资源访问、受众限制和同意的使用场景
- 范围和权限粒度：MCP 服务器是否以及如何应公布细粒度范围（按工具、按资源），客户端应如何请求和呈现这些范围，以及超出范围字符串的授权粒度（丰富授权请求、结构化拒绝、修复提示）
- 非 HTTP 传输的凭据：适用于 stdio、WebSocket 以及 HTTP 授权规范不直接适用的未来传输方式的模式
- 客户端身份和注册：运营者在使用动态客户端注册、客户端 ID 元数据文档、软件声明和预注册客户端时的体验
- 威胁建模输入：整理与授权相关的攻击面（令牌混淆、混淆代理、受众不匹配、重定向处理），为安全最佳实践文档提供信息
- SEP 和草案反馈：在 SEP 流程之前和期间，与授权相关的 SEP、ext-auth 草案、参考实现和演示会在会议以及
#auth-ig线程中进行展示并征求反馈；兴趣组的粗略共识会记录在会议纪要中，供赞助者和核心维护者参考 - 问题陈述和需求：在
#auth-ig线程和 SEP 拉取请求中分享用例目录和建议，供 SEP 作者使用
范围外
- 接受 SEP 或扩展：兴趣组提供反馈并表达支持；赞助和接受遵循 SEP 指南，并由维护者和核心维护者负责
- 最终用户向 MCP 客户端进行身份验证：主机应用如何验证自身用户的身份属于主机关注事项，而非协议关注事项
- 传输安全（TLS、mTLS、证书处理）：属于传输工作组
- 服务器身份、来源和信任信号：属于服务器卡片／注册表相关工作
- 最终用户产品配置演练：兴趣组讨论模式，而不是针对单个 IdP 产品的逐步设置。厂商报告的授权服务器或 IdP 能够或不能够实现的限制属于部署经验范围
- 具有竞争敏感性或非公开的商业信息：遵循 MCP 反垄断政策
相关组
- 安全兴趣组：令牌受众混淆、签发者验证和账户关联风险处于两个组的交界处
- 传输工作组：授权目前在 HTTP 传输层面进行规范定义；传输方式的变化会影响凭据的承载位置
- 代理工作组：委派式／代表他人访问以及多代理链中的同意与代理式用例高度重叠
- 服务器卡片工作组／注册表：客户端和服务器身份、发现元数据以及信任建立，与授权服务器和资源服务器的定位及验证方式相互关联
- SDK 维护者：SDK 提供身份验证客户端实现；兴趣组的发现应为跨 SDK 的身份验证易用性和默认设置提供参考
领导层
成员资格
任何人都可以参加；加入频道、参加会议或作出贡献均不需要正式成员资格或审批步骤。本组尤其欢迎身份提供商厂商、正在发布授权支持的 MCP 客户端和服务器实施者，以及将 MCP 与企业 IdP 集成的运营者。 加入 MCP Contributors Discord 中的#auth-ig 频道，并为你的主题发起或加入线程。会议对所有人开放，参加会议不是强制要求——在 Discord 线程中进行异步参与同样受到重视。
运作方式
Discord：＃auth-ig
一个频道，每个主题一个线程
所有授权讨论都在#auth-ig 中进行，每个主题对应一个 Discord 线程（例如某个 SEP 编号、草案名称或部署配对）。不存在按主题划分的频道。会议议程和纪要位于频道中每次会议对应的议程线程内，并根据组治理规则的要求，将链接交叉发布到 GitHub Discussions。
由议程驱动的会议
会议固定每两周举行一次，但每次会议都根据议程安排：- 协调人在每次会议前于
#auth-ig中发起议程线程。任何人都可以回复并申请一个议程时段，说明主题、诉求（反馈、决策或知悉）以及所需时间。 - 协调人同意议程，并在会议前分配各个时段。
- 如果议程内容不足，则在该线程中取消会议，并保留该时段供下次使用。
从问题到 SEP
在任何人投入编写 SEP 之前，每个问题提案都必须回答以下两个固定问题：- 这是一个值得解决的问题吗？ 是否存在真实的部署需求，且缺口出在协议中，而不是某个产品中？
- 它属于这里吗？ 合适的归属是核心规范、ext-auth 中的官方扩展、非官方扩展，还是上游标准组织？
交付物和成功指标
兴趣组的产出是经过其推动的草案和演示：记录有兴趣组反馈的授权 SEP 和 ext-auth 规范、参考实现和一致性场景、互操作性和部署报告，以及发布的会议纪要。兴趣组负责维护 modelcontextprotocol/ext-auth，授权扩展规范通过拉取请求在其中落地。成功的表现是：授权提案在进入核心维护者审查时，已经纳入跨主题反馈；已发布的扩展则不断积累独立的互操作实现。合并频道
以下 Discord 频道此前承载授权子组。自本次重新制定章程起，这些频道已归档（只读），其主题将继续以#auth-ig 线程和议程时段的形式进行。企业管理授权兴趣组也以同样的方式并入本组：EMA 实施者将互操作性和部署进展作为演示时段带到会议中，而不是提交给一个长期独立存在的组。