给MCP服务器加把锁：OAuth 2.0 PKCE认证全流程解析

你有没有想过——把自己的 MCP 服务器开放给别人用，但不想让人人随便调用？

MCP（Model Context Protocol）服务器天然有工具调用权限，这意味着拿到你服务器地址的人，理论上可以替你操作很多事。不加认证，等于把钥匙插在门上。

mcp-oauth 这个 Skill，就是来解决这个问题的。

它的核心功能：给你的远程 MCP 服务器加上完整的 OAuth 2.0 PKCE 认证流程。

具体干了哪些事？

• Discovery：自动发现 OAuth 授权服务器的 metadata（通过 .well-known/oauth-authorization-server）
• 动态客户端注册：你的 AI Agent 自动注册为 OAuth 客户端，不需要提前申请 client_id
• PKCE 授权码流程：S256 挑战 + 随机 state，防止授权码被截获冒用
• Token 交换与刷新：完整处理 access_token 生命周期

整个流程走完，Claude Code 这类 AI 编程工具连接你的 MCP 服务器时，会自动弹出授权确认页，用户同意后才拿到令牌——跟 GitHub OAuth 登录一个逻辑。

为什么这很重要？

MCP 生态正在快速扩张。Smithery.ai、Anthropic 的 Connectors Directory，都在推动把私人 MCP 服务器变成可分享的”工具市场”。一旦你的服务器暴露在公网，没有认证就是裸奔。

这个 Skill 把 RFC 8414（授权服务器发现）、RFC 7591（动态客户端注册）、RFC 7636（PKCE）三个标准打包成了 AI Agent 可执行的指令流程——你不需要懂 OAuth 细节，AI 照着步骤跑就能搞定。

适合谁？

• 搭建 MCP 服务器并打算分享给团队/公开使用的开发者
• 在做 AI 工具平台，想给工具加标准身份认证的产品负责人
• 任何想让自己 MCP 连接更安全的人

安装方式：

npx skills add https://github.com/lucaperret/agent-skills --skill mcp-oauth

GitHub：https://github.com/lucaperret/agent-skills

GitHub: https://github.com/lucaperret/agent-skills