Does same-origin redirect enforcement break MCP servers behind a reverse proxy?

Offen Anfängerfreundlich

#3,504 erstellt am 15.9.2026 0 Kommentare 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 2/5
Geschätzter Aufwand: 1-3 Stunden
Anfängerfreundlichkeit: 64/100

Issue-Typ: Dokumentation
Klarheit: Größtenteils klar
Aktivitätsstatus: Aktiv
Tech-Stack: nginx, python
Bereich: documentation, networking

Rechercherichtung

Beginne mit den v2.2.0-Release Notes und der im Issue beschriebenen Durchsetzung von Weiterleitungen durch den HTTP-Client. Überprüfe, ob zusätzliche Origins auf die Allowlist gesetzt werden können und wie HTTP-zu-HTTPS- oder Subpfad-Weiterleitungen hinter einem Reverse Proxy funktionieren. Aktualisiere die Migrationshinweise mit dem bestätigten Escape Hatch oder den Deployment-Hinweisen für selbst gehostete MCP-Server.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

Reading the v2.2.0 release notes: the HTTP client now fails redirects with MCPError unless the target is same-origin. For self-hosted setups this seems like it could bite people running an MCP server behind something like Caddy or nginx — e.g. an HTTP→HTTPS redirect, or a redirect from a bare port to a subpath, which often lands on a different-looking origin even though it's the same server.

The changelog doesn't say whether there's a way to allowlist additional origins for these cases, or whether the guidance is simply "don't let your reverse proxy redirect, terminate TLS and proxy_pass directly." Is there a documented escape hatch, or is this an intentional hard stop meant to force removing redirects from self-hosted deployments entirely? A line in the migration notes about the reverse-proxy case would save people a confusing debugging session when their server that worked in 2.1.x suddenly throws on upgrade.

Vorherrschende Sprache: Python
Sterne: 24.3k
Forks: 4k
Ø Merge: 1 T. 19 Min.
Gemergte PRs (30 T.): 29

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus modelcontextprotocol/python-sdk

Streamable HTTP client logs a WARNING for valid 202 Accepted on session termination (DELETE) Offen

v1 v2

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 85/100

modelcontextprotocol/python-sdk#3546 · 5 Kommentare · Erstellt am 19.9.2026
Server ClientAuthenticator requires client_id in token body, rejecting valid client_secret_basic requests (RFC 6749 §2.3.1) Offen

v1 v2

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 76/100

modelcontextprotocol/python-sdk#3545 · 1 Kommentar · Erstellt am 18.9.2026
Revocation requires client_secret to be present Offen

v1 v2

Schwierigkeit 1/5 Unter einer Stunde Anfängerfreundlichkeit 91/100

modelcontextprotocol/python-sdk#3508 · 2 Kommentare · Erstellt am 15.9.2026
Streamable HTTP stateless servers hang clients on the listen-mode GET (_handle_get_request opens a hold-open SSE stream) Offen

v1 v2

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 82/100

modelcontextprotocol/python-sdk#3492 · 1 Kommentar · Erstellt am 11.9.2026
pkg_version() in Server.create_initialization_options doesn't guard against importlib.metadata.version() returning None Offen

v1

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 78/100

modelcontextprotocol/python-sdk#3487 · 3 Kommentare · Erstellt am 09.9.2026

Alle Issues in modelcontextprotocol/python-sdk