MCP Oauth fails when the server metadata URL is redirected

Abierto

#4,769 abierto el 8/9/2026 0 comentarios 0 reacciones 0 asignados Ver en GitHub

Nadie ha tomado este issue todavía.

Evaluación

Dificultad: 3/5
Tiempo estimado: 1-2 días
Aptitud para principiantes: 55/100

Tipo de issue: Error
Claridad: Bastante claro
Estado de actividad: Activo
Stack tecnológico: shell
Área: authentication, cli, security

Línea de trabajo

Reproduce el fallo haciendo que el .well-known/openid-configuration del servidor MCP devuelva una redirección 301 y, después, sigue la validación del issuer utilizada por el flujo HTTP de /mcp add. Se considera terminado cuando se aceptan los metadatos de la URL redirigida si su issuer coincide con esa URL final, y la autenticación continúa hasta el navegador o hasta el código de autorización mostrado.

Escrito por el modelo de indexación a partir del texto del issue.

Descripción

area:authentication area:mcp

Describe the bug

When the .well-known/openid-configuration is behind an http redirect, authentication fails with:

Authentication failed: MCPOAuthError: Incompatible authorization server: authorization server advertised an issuer that does not match the URL its metadata was discovered from (RFC 8414 §3.3); refusing to connect

I believe that copilot-cli checks the issuer against the original URL instead of the redirected URL. Note that RFC 8414 states that the issuer must match "the URL used to retrieve the metadata," which strictly speaking is the redirection target, not the source.

Affected version

GitHub Copilot CLI 1.0.83.

Steps to reproduce the behavior

Run an MCP server on a different server from its OAuth authorization server, e.g. https://my.mcp.server vs https://my.oauth.server
Configure the MCP server so that https://my.mcp.server/.well-known/openid-configuration returns an HTTP 301 redirect to https://my.oauth.server/.well-known/openid-configuration
Configure the OAuth server so that https://my.oauth.server/.well-known/openid-configuration specifies https://my.oauth.server as the issuer
In copilot-cli, type /mcp add FooBar, select type HTTP, remote server URL https://my.mcp.server, and the client ID when asked

Expected behavior

Copilot should ask to authenticate, then open the authentication URL in my browser (or display the authentication code and URL so that I can copy-paste them in my browser), then complete the authentication flow.

Additional context

This may be related to #4480 except that in #4480, the Atlassian MCP server gave the wrong issuer, whereas here the issuer is correct for the real URL and copilot-cli is checking against the wrong URL.

Lenguaje dominante: Shell
Estrellas: 11.2k
Forks: 1.9k
Merge medio: 14 h 16 min
PR fusionados (30 d): 6

Guía de contribución

Abrir la guía de contribución

Primeros pasos

Lee el issue completo y luego la guía de contribución del proyecto.
Comenta en el issue que vas a ocuparte — evita que dos personas hagan lo mismo.
Haz un fork del repositorio y trabaja en una rama.
Abre un pull request que haga referencia al número del issue.

Más de github/copilot-cli

Built-in skill `github-pr-media` cannot run: `gh auth token` is empty in a cloud agent session, and the endpoint rejects `Bearer` Abierto

triage

Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100

github/copilot-cli#4932 · Abierto el 22/9/2026
/ide finds no workspaces under the CLI sandbox: kill(pid,0) EPERM misread as a dead process Abierto

triage

Dificultad 2/5 1-3 horas Aptitud para principiantes 78/100

github/copilot-cli#4909 · Abierto el 19/9/2026
MCP OAuth: DCR sends client_name "copilot-cli", rejected with 403 by Figma's allowlist (expects "GitHub Copilot CLI") Abierto

triage

Dificultad 2/5 1-3 horas Aptitud para principiantes 76/100

github/copilot-cli#4906 · Abierto el 18/9/2026
/feedback: “Save feedback bundle” is easily mistaken for submitting feedback Abierto

triage

Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100

github/copilot-cli#4848 · Abierto el 15/9/2026
Built-in research agent tells subagents to call unavailable github/get_me tool Abierto

area:agents area:mcp

Dificultad 2/5 1-3 horas Aptitud para principiantes 72/100

github/copilot-cli#4729 · Abierto el 4/9/2026

Todos los issues de github/copilot-cli

Issues similares

wrapper-provision-jdk: require curl only when downloading a JDK Abierto

Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100

elastic/gradle-plugins#156 · Abierto el 23/9/2026
scripts/acceptance.sh times out: acceptance package needs longer than go test's 10m default Abierto

Priority/High ready-for-agent Severity/Major Type/Bug

Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100

wso2/wso2-cli#235 · Abierto el 23/9/2026
[Bug]: Documented CLI examples fail with argparse errors (profile export/import, backup restore, send, skills config/search, sessions show, kanban swarm, peer run, cron add) Abierto

comp/cli P3 type/docs

Dificultad 2/5 1-3 horas Aptitud para principiantes 75/100

NousResearch/hermes-agent#119756 · 1 comentario · Abierto el 23/9/2026
Canary builds are named after the release candidate, so npm ranks them above it Abierto

comp: build/pipeline type: bug version: current (v17+)

Dificultad 2/5 1-3 horas Aptitud para principiantes 74/100

angular/angularfire#3766 · Abierto el 23/9/2026
cachyos-mango-noctalia: new version 1.4.0 Abierto

out-of-date

Dificultad 2/5 1-3 horas Aptitud para principiantes 70/100

CachyOS/CachyOS-PKGBUILDS#1903 · Abierto el 22/9/2026

Más issues de Shell/Bash