Hacktoberfest 2026: los issues que los mantenedores marcaron para octubre, abiertos y aptos para principiantes. Explorar issues de Hacktoberfest

centralize role resolution across all MCP tools

Abierto
#3,757 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Nadie ha tomado este issue todavía.

Evaluación

Dificultad
4/5
Tiempo estimado
3-5 días
Aptitud para principiantes
55/100
Tipo de issue
Refactorización
Claridad
Bien especificado
Estado de actividad
Tranquilo
Stack tecnológico
csharp
Área
backend-api-design, security

Línea de trabajo

Lee McpAuthorizationHelper y los ocho puntos de entrada de herramientas MCP nombrados; después, compara los cambios existentes de alineación y seguridad en PR #3737. Verifica que el encabezado de rol solo se lea en McpAuthorizationHelper, que ningún código MCP lo divida, que todas las herramientas usen TryResolveValidatedRole y que las pruebas existentes pasen.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

mcp-server

Related PR: #3737 — MSRC 31000000666371: MCP describe_entities info-disclosure fix + single-role alignment

Proposed fix

Add a single choke point on McpAuthorizationHelper that every MCP tool calls to obtain the caller's role:

public static bool TryResolveValidatedRole(
    HttpContext httpContext,
    IAuthorizationResolver authResolver,
    out string? role);

Behavior:

  • Delegates validation to IAuthorizationResolver.IsValidRoleContext (exactly-one non-empty header value + HttpContext.User.IsInRole(header)).
  • Returns the validated X-MS-API-ROLE header value verbatim as the single role for the request.
  • Is the only place any MCP code reads AuthorizationResolver.CLIENT_ROLE_HEADER.

Then refactor every MCP tool to call it: DescribeEntitiesTool, AggregateRecordsTool, CreateRecordTool, DeleteRecordTool, ExecuteEntityTool, ReadRecordsTool, UpdateRecordTool, DynamicCustomTool.

Design

  • Single-role model. X-MS-API-ROLE is one atomic role. No splitting, no unioning. Matches REST, GraphQL, and DAB's existing ClientRoleHeaderAuthorizationMiddleware.
  • Resolver-owned inheritance. Per-entity authorization goes through IAuthorizationResolver.AreRoleAndOperationDefinedForEntity / GetAllowedExposedColumns, so anonymous → authenticated → named inheritance and wildcard All expansion are consistent with REST/GraphQL.
  • One header read. AuthorizationResolver.CLIENT_ROLE_HEADER appears in exactly one MCP file after this change.

Acceptance

  • grep AuthorizationResolver.CLIENT_ROLE_HEADER src/Azure.DataApiBuilder.Mcp/** returns one match, in McpAuthorizationHelper.
  • No .Split(',') on the role header anywhere in the MCP project.
  • All MCP tools use TryResolveValidatedRole; existing tests still pass.

Non-goals

  • No resolver behavior changes.
  • No config schema changes.
  • No new live-database tests.

Reference

See PR #3737 for the single-role model, the MSRC fix in DescribeEntitiesTool, and the McpAuthorizationHelper.TryResolveAuthorizedRole alignment this issue builds on.

Lenguaje dominante
C#
Estrellas
1.5k
Forks
372
Merge medio
7 d 19 h
PR fusionados (30 d)
10

Guía de contribución

Abrir la guía de contribución

Primeros pasos

  1. Lee el issue completo y luego la guía de contribución del proyecto.
  2. Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
  3. Haz un fork del repositorio y trabaja en una rama.
  4. Abre un pull request que haga referencia al número del issue.

Más de Azure/data-api-builder

Todos los issues de Azure/data-api-builder

Issues similares

Más issues de C#

Recibe los nuevos issues en tu correo

Un resumen breve de issues de GitHub para principiantes.