User-Agent header in sHTTP transport is not forwarded to auth flow

Offen

#1,664 erstellt am 25.11.2025 5 Kommentare 1 Reaktion 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 3/5
Geschätzter Aufwand: 1-2 Tage
Anfängerfreundlichkeit: 68/100

Issue-Typ: Bug
Klarheit: Größtenteils klar
Aktivitätsstatus: Aktiv
Tech-Stack: python
Bereich: authentication

Rechercherichtung

Beginne mit der Verwendung von streamablehttp_client in examples/clients/simple-auth-client/mcp_simple_auth_client/main.py, insbesondere mit dem headers-Argument um die Zeilen 214–220, und verfolge, wie der Authentifizierungsablauf seine Requests erstellt. Überprüfe, dass ein benutzerdefinierter User-Agent diese Requests erreicht, einschließlich des AWS-WAF-Anwendungsfalls; abgeschlossen ist die Aufgabe, wenn Aufrufer den Header über das SDK konfigurieren können, ohne diese Regel zu deaktivieren.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

auth bug P2 ready for work

Initial Checks

I confirm that I'm using the latest version of MCP Python SDK
I confirm that I searched for my issue in https://github.com/modelcontextprotocol/python-sdk/issues before opening this issue

Description

Passing a custom User-Agent header to the sHTTP transport, e.g. here does not result in auth flow requests including that user agent. There also does not appear to be any way to customize this behavior externally to the SDK itself.

In particular, this becomes a problem when working with AWS WAF, as one of its baseline rules is to require all requests to include a User-Agent header, to filter out low-grade spam.

I am currently recommending to internal teams that they disable this rule for the time being, but this is not a great solution for them, as it means removing an application guardrail to work around an SDK limitation.

Example Code

print("📡 Opening StreamableHTTP transport connection with auth...")
async with streamablehttp_client(
    url=self.server_url,
    auth=oauth_auth,
    timeout=timedelta(seconds=60),
    headers={
        "User-Agent": "mcp-python-sdk/0.1.0",
    },
) as (read_stream, write_stream, get_session_id):
    await self._run_session(read_stream, write_stream, get_session_id)

Python & MCP Python SDK

Latest SDK commit: 27279bc (1.22.0)
Python 3.13.2

Vorherrschende Sprache: Python
Sterne: 24.3k
Forks: 4k
Ø Merge: 1 T. 11 Std.
Gemergte PRs (30 T.): 30

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus modelcontextprotocol/python-sdk

OAuth client scope handling breaks on comma-separated scope strings Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 75/100

modelcontextprotocol/python-sdk#3566 · Erstellt am 23.9.2026
Streamable HTTP client logs a WARNING for valid 202 Accepted on session termination (DELETE) Offen

v1 v2

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 85/100

modelcontextprotocol/python-sdk#3546 · 5 Kommentare · Erstellt am 19.9.2026
Server ClientAuthenticator requires client_id in token body, rejecting valid client_secret_basic requests (RFC 6749 §2.3.1) Offen

v1 v2

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 76/100

modelcontextprotocol/python-sdk#3545 · 1 Kommentar · Erstellt am 18.9.2026
Revocation requires client_secret to be present Offen

v1 v2

Schwierigkeit 1/5 Unter einer Stunde Anfängerfreundlichkeit 91/100

modelcontextprotocol/python-sdk#3508 · 2 Kommentare · Erstellt am 15.9.2026
Does same-origin redirect enforcement break MCP servers behind a reverse proxy? Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 64/100

modelcontextprotocol/python-sdk#3504 · Erstellt am 15.9.2026

Alle Issues in modelcontextprotocol/python-sdk