OAuth voor MCP-clients

Deze pagina is bedoeld voor mensen die een MCP-client bouwen of een verbinding debuggen. Als u alleen Claude of ChatGPT wilt verbinden, zie Verbind een AI-app.

TradeCatalog volgt de MCP-autorisatiespecificatie: OAuth 2.1 met PKCE, beveiligde resource metadata (RFC 9728) en autorisatieserver metadata (RFC 8414).

EindpuntenLink naar deze sectie#

De beveiligde bronmetadata bevindt zich op het pad-specifieke adres voor /mcp, zoals beschreven in RFC 9728 voor een bron met een pad. Er is bewust niets op /.well-known/oauth-protected-resource zelf.

De optionele /mcp/account-verbinding voegt een eigenaar-alleen veilige factureringsoverdracht toe voor agenthosts die softwareabonnementsfacturering toestaan. Het is een afstammeling van dezelfde /mcp-beveiligde bron: gebruik de bovenstaande metadata en resource=https://tradecatalog.app/mcp bij het autoriseren of het aanvragen van tokens. Inschrijving, OAuth-toestemming en werkruimte-toegang gebruiken hetzelfde account. ChatGPT-plugins verbinden met /mcp; zie inschrijving en facturering.

BereikLink naar deze sectie#

Vraag tradecatalog:read aan voor zoekopdrachten. Vraag tradecatalog:read tradecatalog:write aan om ook wijzigingen voor te bereiden. De toestemmingspagina beschrijft de aangevraagde toegang. Bestaande alleen-lezen toestemmingen krijgen nooit automatisch schrijftoegang. Rollen en factureringbeperkingen worden opnieuw gecontroleerd bij het voorstellen en goedkeuren van acties. Consequente schrijfbewerkingen vereisen een aparte eenmalige bevestiging in de chatkaart, of de ingelogde beoordelingspagina voor clients zonder kaarten; zie Tools.

OntdekkingsstroomLink naar deze sectie#

1. De client roept https://tradecatalog.app/mcp aan zonder een token.
2. De server antwoordt met 401 Unauthorized en een WWW-Authenticate: Bearer-header die wijst naar de beveiligde bronmetadata.
3. De client leest de beveiligde bronmetadata om de autorisatieserver en https://tradecatalog.app te vinden.
4. De client leest de autorisatieservermetadata voor de bovenstaande eindpunten.

curl https://tradecatalog.app/.well-known/oauth-protected-resource/mcp

{
  "resource": "https://tradecatalog.app/mcp",
  "authorization_servers": ["https://tradecatalog.app"],
  "scopes_supported": ["tradecatalog:read", "tradecatalog:write"],
  "bearer_methods_supported": ["header"],
  "resource_name": "TradeCatalog MCP server"
}

Client registrerenLink naar deze sectie#

Gebruik een van de volgende opties:

• Client-ID metadata documenten (aanbevolen): gebruik een https-URL die u beheert als uw client_id, die uw clientmetadata levert. Personen die de verbinding goedkeuren zien het hostnaam van deze URL als de uitgever.
• Dynamische clientregistratie (RFC 7591) op /oauth/register.

Iedereen kan een client registreren onder elke naam, dus de goedkeuringspagina toont wie de goedkeuring stuurt (de omleidingshost) en, voor URL client-ids, de uitgever. De naam alleen wordt als ongeverifieerd gemarkeerd.

AutorisatieLink naar deze sectie#

Gebruik de autorisatiecodeflow met PKCE (S256):

1. Stuur de browser van de persoon naar /oauth/authorize met response_type=code, client_id, redirect_uri, code_challenge, code_challenge_method=S256, state en scope=tradecatalog:read.
2. Als ze niet ingelogd zijn, vraagt TradeCatalog hen om in te loggen met een gemaild code (of Google of Microsoft, waar van toepassing), en brengt ze terug.
3. Ze zien welk app dat vraagt, het account waar ze ingelogd zijn en wat het kan doen, en kiezen dan Toestaan of Weigeren.
4. Toestaan omleidt naar uw redirect_uri met code en state. Weigeren omleidt met error=access_denied.
5. Wissel de code om op /oauth/token met uw code_verifier. U krijgt een toegangstoken en een vernieuwings-token.

Stuur het toegangstoken op elke MCP-aanvraag:

POST /mcp HTTP/1.1
Host: tradecatalog.app
Authorization: Bearer <access token>
Content-Type: application/json
Accept: application/json, text/event-stream

Toegangstokens zijn tijdelijk. Gebruik het vernieuwings-token op /oauth/token om er een nieuw te verkrijgen.

Wie kan goedkeurenLink naar deze sectie#

• Elke ingelogde TradeCatalog-gebruiker: leverancierspersoneel of kopers.
• Niet demo-bezoekers (gast-sessies). Ze worden naar het inloggen gestuurd.
• Er is geen manier om een account aan te maken via deze stroom, en er is geen machine-only (client credentials) toegang. Voor server-tot-server toegang, gebruik de REST API met een API-sleutel.

Het verlenen draagt alleen de identiteit van de persoon. Elke toolaanroep controleert opnieuw wat ze kunnen zien, dus als ze toegang verliezen tot een werkruimte, verliest de AI-app dat ook.

TransportLink naar deze sectie#

De server is stateless Streamable HTTP. Het geeft geen sessie-ids uit; elke aanvraag staat los, en het antwoordt met JSON in plaats van een gebeurtenisstroom.

InvaliderenLink naar deze sectie#

Personen zien en verbreken goedgekeurde apps op /oauth/connections. Het verbreken invalideert de toestemming en de tokens direct.

Ook gepubliceerdLink naar deze sectie#

• /auth.md: een korte samenvatting van deze pagina voor agents.
• /.well-known/mcp/server-card.json: de MCP-serverkaart met de toollijst.