resource_url_from_server_url preserves explicit default ports

Offen Anfängerfreundlich

#3,297 erstellt am 12.8.2026 1 Kommentar 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 2/5
Geschätzter Aufwand: 1-3 Stunden
Anfängerfreundlichkeit: 76/100

Issue-Typ: Bug
Klarheit: Klar beschrieben
Aktivitätsstatus: Ruhig
Tech-Stack: python
Bereich: authentication, security

Rechercherichtung

Beginnen Sie bei resource_url_from_server_url() in mcp.shared.auth_utils und reproduzieren Sie das Beispiel mit expliziten Standard- und Nichtstandardports. Bestätigen Sie, dass HTTP 80 und HTTPS 443 entfernt werden, während Nichtstandardports erhalten bleiben, und überprüfen Sie, dass check_resource_allowed() gleichwertige kanonische Ressourcen-URLs akzeptiert.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

P3 v1 v2

Initial checks

I tested the current main branch (6e30452).
I searched existing issues and pull requests for this behavior.

Description

resource_url_from_server_url() lowercases the scheme/authority and removes the fragment, but it preserves an explicitly specified default port. This makes an RFC 8707 resource URL such as https://example.com:443/mcp compare unequal to the equivalent https://example.com/mcp value used by Protected Resource Metadata.

RFC 3986 section 6.2.3 treats an explicit default port as equivalent to an omitted port. Pydantic also normalizes the metadata URL by dropping the default port. The SDK currently canonicalizes only one side, so check_resource_allowed() can reject an otherwise equivalent resource and abort OAuth resource validation.

Expected: HTTP port 80 and HTTPS port 443 are removed during canonicalization; non-default ports remain unchanged.

Example code

from mcp.shared.auth_utils import check_resource_allowed, resource_url_from_server_url

canonical = resource_url_from_server_url("https://example.com:443/mcp")
print(canonical)  # current: https://example.com:443/mcp
print(check_resource_allowed(canonical, "https://example.com/mcp"))  # current: False

Environment

Python 3.12
MCP Python SDK main at 6e30452

I used AI assistance while investigating this issue and reviewed and reproduced the behavior locally.

Vorherrschende Sprache: Python
Sterne: 24.3k
Forks: 4k
Ø Merge: 1 T. 19 Min.
Gemergte PRs (30 T.): 29

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus modelcontextprotocol/python-sdk

Streamable HTTP client logs a WARNING for valid 202 Accepted on session termination (DELETE) Offen

v1 v2

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 85/100

modelcontextprotocol/python-sdk#3546 · 5 Kommentare · Erstellt am 19.9.2026
Server ClientAuthenticator requires client_id in token body, rejecting valid client_secret_basic requests (RFC 6749 §2.3.1) Offen

v1 v2

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 76/100

modelcontextprotocol/python-sdk#3545 · 1 Kommentar · Erstellt am 18.9.2026
Revocation requires client_secret to be present Offen

v1 v2

Schwierigkeit 1/5 Unter einer Stunde Anfängerfreundlichkeit 91/100

modelcontextprotocol/python-sdk#3508 · 2 Kommentare · Erstellt am 15.9.2026
Does same-origin redirect enforcement break MCP servers behind a reverse proxy? Offen

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 64/100

modelcontextprotocol/python-sdk#3504 · Erstellt am 15.9.2026
Streamable HTTP stateless servers hang clients on the listen-mode GET (_handle_get_request opens a hold-open SSE stream) Offen

v1 v2

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 82/100

modelcontextprotocol/python-sdk#3492 · 1 Kommentar · Erstellt am 11.9.2026

Alle Issues in modelcontextprotocol/python-sdk