Bug: validate_scope rejects client scopes when required scopes in None

Offen Anfängerfreundlich

#2,216 erstellt am 05.3.2026 5 Kommentare 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 2/5
Geschätzter Aufwand: 1-3 Stunden
Anfängerfreundlichkeit: 64/100

Issue-Typ: Bug
Klarheit: Größtenteils klar
Aktivitätsstatus: Ruhig
Tech-Stack: python
Bereich: authentication, authorization

Rechercherichtung

Finde validate_scope im Python SDK und verfolge, wie erforderliche Scopes behandelt werden, wenn der Wert None ist. Reproduziere den Fall, in dem Client-Scopes fehlen und Token-Scopes vorhanden sind, prüfe anschließend, dass gültige Scopes nicht mehr mit InvalidScopeError abgelehnt werden, und füge Testabdeckung für dieses Verhalten hinzu.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

auth bug P2 ready for work

Initial Checks

I confirm that I'm using the latest version of MCP Python SDK
I confirm that I searched for my issue in https://github.com/modelcontextprotocol/python-sdk/issues before opening this issue

Description

The validate_scope() function in the Python SDK incorrectly handles cases where there are no required scopes from the client. Instead of treating None as no restrictions, it interprets it as an empty list of allowed scopes. This causes scopes in the token to be rejected with InvalidScopeError, even if the client should be allowed to request them.

Example Code

Python & MCP Python SDK

1.26.0

Vorherrschende Sprache: Python
Sterne: 24.3k
Forks: 4k
Ø Merge: 1 T. 19 Min.
Gemergte PRs (30 T.): 29

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus modelcontextprotocol/python-sdk

Streamable HTTP client logs a WARNING for valid 202 Accepted on session termination (DELETE) Offen

v1 v2

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 85/100

modelcontextprotocol/python-sdk#3546 · 5 Kommentare · Erstellt am 19.9.2026
Server ClientAuthenticator requires client_id in token body, rejecting valid client_secret_basic requests (RFC 6749 §2.3.1) Offen

v1 v2

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 76/100

modelcontextprotocol/python-sdk#3545 · 1 Kommentar · Erstellt am 18.9.2026
Revocation requires client_secret to be present Offen

v1 v2

Schwierigkeit 1/5 Unter einer Stunde Anfängerfreundlichkeit 91/100

modelcontextprotocol/python-sdk#3508 · 2 Kommentare · Erstellt am 15.9.2026
Does same-origin redirect enforcement break MCP servers behind a reverse proxy? Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 64/100

modelcontextprotocol/python-sdk#3504 · Erstellt am 15.9.2026
Streamable HTTP stateless servers hang clients on the listen-mode GET (_handle_get_request opens a hold-open SSE stream) Offen

v1 v2

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 82/100

modelcontextprotocol/python-sdk#3492 · 1 Kommentar · Erstellt am 11.9.2026

Alle Issues in modelcontextprotocol/python-sdk