30个MCP服务器只1个A级OAuth认证，这个开源扫描器专治安全短板

你知道吗？有人扫描了市面上 30 个 MCP 服务器，发现只有 1 个的 OAuth 安全评级达到 A 级。

这意味着什么？你线上跑的那些 MCP 服务，可能一个不起眼的 OAuth 配置缺陷就被人轻松打穿了。

今天聊的这个开源工具 authgent，就是专门干这件事的——给 MCP 服务器做 OAuth 安全”体检”，10 秒钟出报告。

这个工具能干啥？

authgent 是一个开源的 MCP-OAuth 合规性扫描器，核心功能就三个：

1. 一键扫描 MCP 服务器

pip install authgent-server
authgent-server lint https://your-mcp-server.example.com

扫完你会看到类似这样的输出：

[CRITICAL] MCP-PRM-001: Missing Protected Resource Metadata
[ERROR] MCP-PKCE-002: PKCE method not enforced at /authorize
[ERROR] MCP-AUD-001: RFC 8707 resource indicators not supported

每个检查项都有 RFC 编号支撑，不是随便写的规则。

2. A-F 安全等级评分

10 项 RFC 标准检查，通过了才给 A 级。30 个市面 MCP 服务只过了 1 个，这比例说实话有点吓人。

3. 不过不只是扫，它还能帮你修

如果扫出来有问题，可以直接跑 pip install authgent-server 然后 authgent-server run，它会启动一个符合 OAuth 2.1 标准的参考实现服务器，把你现有服务桥接进去就能解决。

适用场景

• 正在上 MCP 的团队：在上线前先跑一遍，别等被人扫出来了再修
• 安全工程师：想评估市面各 MCP 服务的 OAuth 实现质量，公开注册表直接查
• AI 应用开发者：接了第三方 MCP 服务，想知道对方安不安全

快速上手

最简单的方式是用它提供的在线扫描页面：

👉 https://authgent.dev/scan/

填入你要测的 MCP 服务器 URL，点扫描，10 秒出结果。还可以给自己的项目加一个 SVG 徽章，显示当前安全评级。

如果想集成到 CI/CD 里，它也提供了 GitHub Action，直接在 PR 里做检查。

总结

说实话，AI 智能体这波浪潮里，大家都在卷功能、卷性能，但安全这块其实是明显滞后的。authgent 做的事情很直接——让 MCP 开发者能低门槛地知道自己的 OAuth 实现到底安不安全。

GitHub 链接：https://github.com/authgent/authgent

工具开源，扫描免费，有意思的是它背后还有 IETF 草案级别的参考实现，说白了就是给 RFC 标准做”reference impl”的级别。开发者友好度拉满。

GitHub: https://github.com/authgent/authgent