@ agenticprimitives/ mcp-oauth (英语)

部分 代理先导 ——代理应用程序的开源信任底板:可以签名的身份,行为时间检查权限,所有者携带的证据. 开发者工具包 • 妇女 所有软件包

MCP 磁共振 OAuth 兼容性 适配器 + 代理赠款套装 桥( 第277段). OAuth是一个入侵者 公共HTTP MCP客户端的适配器 - 没有 保险库的权威。 已确认的代号 由 id+hash 捆绑; 普通的已授权金库路径会关闭捆绑 .

import { validateMcpBearerToken, resolveGrantBundleFromToken, buildInsufficientScopeResponse } from '@agenticprimitives/mcp-oauth';

const v = await validateMcpBearerToken(parseBearer(req.headers.get('authorization')), {
  verify: (tok) => jwks.verify(tok),          // injected: signature + decode → claims
  audience: 'https://mcp.example.com/mcp',
  requiredScopes: ['mcp:invoke', 'vault:pii:read'],
  requireGrantBinding: true,
});
if (!v.ok) return v.reason === 'insufficient_scope'
  ? buildInsufficientScopeResponse({ missingScopes: v.missingScopes!, resourceMetadataUrl })
  : buildUnauthorizedResponse({ resourceMetadataUrl });

const r = await resolveGrantBundleFromToken(v.claims, grantBundleStore);  // store injected
// r.bundle → delegation/entitlement hashes → normal delegated vault path

无依赖性+运行时间不可知. 授权服务器 JWT/JWKS 校验和加密 grant-bundle商店在应用程序/运行时间进行直播。 入境的MCP令牌在下游从未被再利用. 见 第277页,第6节,第15节。 。 。 .