客户端注册

• 客户端 ID 元数据文档：当客户端和服务器之间没有既有关系时（最常见）
• 预注册：当客户端和服务器之间已有关系时
• 动态客户端注册：用于向后兼容或特定需求

1. 如果客户端可用，则为服务器使用已预注册的客户端信息
2. 如果授权服务器表示支持客户端 ID 元数据文档（通过 OAuth 授权服务器元数据中的 client_id_metadata_document_supported）
3. 如果授权服务器支持动态客户端注册（通过 OAuth 授权服务器元数据中的 registration_endpoint），则将其作为后备方案
4. 如果没有其他可用选项，则提示用户输入客户端信息

​

客户端 ID 元数据文档

​

实现要求

• 客户端 必须 在符合 RFC 要求的 HTTPS URL 上托管其元数据文档
• client_id URL 必须 使用 “https” 方案并包含路径组件，例如 https://example.com/client.json
• 元数据文档 必须 至少包含以下属性：client_id、client_name、redirect_uris
• 客户端 必须 确保元数据中的 client_id 值与文档 URL 完全一致
• 客户端 可以 使用 private_key_jwt 进行客户端认证（例如，用于对 token 端点的请求），并按 客户端 ID 元数据文档第 6.2 节 所述配置相应的 JWKS

• 在遇到 URL 形式的 client_id 时，应该 获取元数据文档
• 必须 验证所获取文档中的 client_id 与该 URL 完全匹配
• 应该 根据 HTTP 缓存头缓存元数据
• 必须 验证授权请求中提供的 redirect URI 是否与元数据文档中的一致
• 必须 验证文档结构为有效的 JSON 且包含必需字段
• 应该 遵循 客户端 ID 元数据文档第 6 节 以及 客户端 ID 元数据文档安全性 中的安全注意事项

​

元数据文档示例

{
  "client_id": "https://app.example.com/oauth/client-metadata.json",
  "client_name": "示例 MCP 客户端",
  "client_uri": "https://app.example.com",
  "logo_uri": "https://app.example.com/logo.png",
  "redirect_uris": [
    "http://127.0.0.1:3000/callback",
    "http://localhost:3000/callback"
  ],
  "grant_types": ["authorization_code"],
  "response_types": ["code"],
  "token_endpoint_auth_method": "none"
}

​

客户端 ID 元数据文档流程

​

宣告 CIMD 支持

{
  "client_id_metadata_document_supported": true
}

​

预注册

1. 为 MCP 客户端与该授权服务器交互时使用，专门硬编码一个客户端 ID（以及在适用时，客户端凭据），或者
2. 向用户提供一个 UI，使其在自行注册 OAuth 客户端之后（例如，通过服务器托管的配置界面）输入这些详细信息。

​

动态客户端注册

​

应用类型与重定向 URI 限制

• 原生应用（桌面应用、移动应用、 CLI 工具，以及通过 localhost 访问的本地托管 Web 应用）SHOULD 使用 application_type: "native"
• Web 应用（从非本地主机提供服务的远程基于浏览器的应用）SHOULD 使用 application_type: "web"

​

授权服务器绑定