待验证50% 置信事实精确时间
2026-07-28 版 MCP 授权规范要求：客户端必须在授权请求和令牌请求中携带 resource（RFC 8707），服务器必须验证令牌是为自己签发的否则返回 401，客户端在重定向之前必须记录从已验证授权服务器元数据中获取的签发者并检查重定向返回的 iss（RFC 9207），PKCE 只允许 S256。
1
来源数
50%
置信度
长期有效
时效性
2026/10/18
首次发现
来源
涉及实体
相关事实
待验证当客户端不带令牌调用受保护的 MCP 服务器时，会收到 401 Unauthorized，响应头会指明 resource metadata 链接和所需的 scope75% 相似待验证mcp-server-fetch 默认拒绝私有地址、回环地址和元数据地址，作为 SSRF 防护措施65% 相似待验证DCR（动态客户端注册）对应的规范为RFC 7591，客户端向授权服务器注册端点发起POST请求后，服务器返回client ID和client secret65% 相似待验证GNAP要求客户端在每次请求时通过HTTP消息签名证明持有对应私钥（通常是Ed25519），资源服务器只需在本地完成签名验证，无需数据库查询或网络调用64% 相似待验证注册表/白名单机制通过预先维护已知合法MCP服务器的指纹或公钥列表，仅允许列表内服务器通过63% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/1063088API
curl https://kongchang.com/api/v1/knowledge/claims/1063088MCP
get_claim(id=1063088)