Don't override client_metadata.scopes if they are already set

Offen Anfängerfreundlich

#2,317 erstellt am 20.3.2026 5 Kommentare 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 2/5
Geschätzter Aufwand: 1-3 Stunden
Anfängerfreundlichkeit: 68/100

Issue-Typ: Bug
Klarheit: Größtenteils klar
Aktivitätsstatus: Aktiv
Tech-Stack: python
Bereich: authentication, authorization

Rechercherichtung

Beginne in src/mcp/client/auth/oauth2.py beim im Issue zitierten Scope-Auswahl-Code im Bereich async_auth_flow, prüfe anschließend die verlinkte Pull-Request-Diskussion und die vorhandenen OAuth-Client-Tests. Erledigt ist die Aufgabe, wenn explizit konfigurierte client_metadata.scope-Werte beibehalten werden, während die Scope-Auswahl weiterhin erfolgt, wenn kein Scope festgelegt wurde.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

auth enhancement needs decision P2

Initial Checks

I confirm that I'm using the latest version of MCP Python SDK
I confirm that I searched for my issue in https://github.com/modelcontextprotocol/python-sdk/issues before opening this issue

Description

The scope selection strategy inside async_auth_flow unconditionally requests all available scopes. This overwrites the scope list that may have been explicitly set by the client. Being able to explicitly set the requested scopes is an important use case, either to reduce the permissions granted or because the server only permits certain scopes (despite advertising others).

From https://github.com/modelcontextprotocol/python-sdk/blob/v1.26.0/src/mcp/client/auth/oauth2.py#L553-L558:

                    # Step 3: Apply scope selection strategy
                    self.context.client_metadata.scope = get_client_metadata_scopes(
                        extract_scope_from_www_auth(response),
                        self.context.protected_resource_metadata,
                        self.context.oauth_metadata,
                    )

This could be conditional on if self.context.client_metadata.scope is None.

I see that this behavior was previously suggested in https://github.com/modelcontextprotocol/python-sdk/pull/1324#discussion_r2410806282 and rejected, on the basis that "Requesting all available scopes allows the authorization server and end-user to determine appropriate permissions during the consent process". However, I think this is worth revisiting. The specific motivating example here is the official SalesForce MCP server: if the client requests scopes that are not authorized for the given client application, the server rejects the request entirely.

Example Code

Python & MCP Python SDK

python 3.12.12
sdk 1.26.0

Vorherrschende Sprache: Python
Sterne: 24.3k
Forks: 4k
Ø Merge: 1 T. 16 Std.
Gemergte PRs (30 T.): 25

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus modelcontextprotocol/python-sdk

ClientSessionGroup raises KeyError when connecting a server that exposes no components Offen

v1 v2

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 70/100

modelcontextprotocol/python-sdk#3578 · 1 Kommentar · Erstellt am 24.9.2026
func_metadata raises uncaught PydanticSchemaGenerationError for Iterator/AsyncIterator tool return annotations instead of the unstructured fallback Offen

v1 v2

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 65/100

modelcontextprotocol/python-sdk#3573 · 2 Kommentare · Erstellt am 23.9.2026
OAuth client scope handling breaks on comma-separated scope strings Offen

v2

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 75/100

modelcontextprotocol/python-sdk#3566 · Erstellt am 23.9.2026
Streamable HTTP client logs a WARNING for valid 202 Accepted on session termination (DELETE) Offen

v1 v2

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 85/100

modelcontextprotocol/python-sdk#3546 · 5 Kommentare · Erstellt am 19.9.2026
Server ClientAuthenticator requires client_id in token body, rejecting valid client_secret_basic requests (RFC 6749 §2.3.1) Offen

v1 v2

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 76/100

modelcontextprotocol/python-sdk#3545 · 2 Kommentare · Erstellt am 18.9.2026

Alle Issues in modelcontextprotocol/python-sdk