Don't override client_metadata.scopes if they are already set

Aperta Adatta ai principianti

#2,317 aperta il 20/3/2026 5 commenti 0 reazioni 0 assegnatari Vedi su GitHub

Nessuno ha ancora preso questa issue.

Valutazione

Difficoltà: 2/5
Tempo stimato: 1-3 ore
Idoneità per principianti: 68/100

Tipo di issue: Bug
Chiarezza: Abbastanza chiara
Stato di attività: Attiva
Stack tecnologico: python
Ambito: authentication, authorization

Direzione di ricerca

Inizia in src/mcp/client/auth/oauth2.py, nel codice di selezione dello scope nell’ambito async_auth_flow citato nell’issue, quindi esamina la discussione della pull request collegata e i test esistenti del client OAuth. Il lavoro è completato quando i valori di client_metadata.scope configurati esplicitamente vengono preservati, mentre la selezione dello scope continua a essere eseguita quando non è stato impostato alcuno scope.

Scritto dal modello di indicizzazione a partire dal testo della issue.

Descrizione

auth enhancement needs decision P2

Initial Checks

I confirm that I'm using the latest version of MCP Python SDK
I confirm that I searched for my issue in https://github.com/modelcontextprotocol/python-sdk/issues before opening this issue

Description

The scope selection strategy inside async_auth_flow unconditionally requests all available scopes. This overwrites the scope list that may have been explicitly set by the client. Being able to explicitly set the requested scopes is an important use case, either to reduce the permissions granted or because the server only permits certain scopes (despite advertising others).

From https://github.com/modelcontextprotocol/python-sdk/blob/v1.26.0/src/mcp/client/auth/oauth2.py#L553-L558:

                    # Step 3: Apply scope selection strategy
                    self.context.client_metadata.scope = get_client_metadata_scopes(
                        extract_scope_from_www_auth(response),
                        self.context.protected_resource_metadata,
                        self.context.oauth_metadata,
                    )

This could be conditional on if self.context.client_metadata.scope is None.

I see that this behavior was previously suggested in https://github.com/modelcontextprotocol/python-sdk/pull/1324#discussion_r2410806282 and rejected, on the basis that "Requesting all available scopes allows the authorization server and end-user to determine appropriate permissions during the consent process". However, I think this is worth revisiting. The specific motivating example here is the official SalesForce MCP server: if the client requests scopes that are not authorized for the given client application, the server rejects the request entirely.

Example Code

Python & MCP Python SDK

python 3.12.12
sdk 1.26.0

Lingua principale: Python
Stelle: 24.3k
Fork: 4k
Merge medio: 1g 19m
PR unite (30g): 29

Guida per i contributori

Apri la guida per i contributori

Come iniziare

Leggi tutta la issue e poi la guida ai contributi del progetto.
Commenta sulla issue per dire che te ne occupi tu — evita che due persone facciano lo stesso lavoro.
Fai un fork del repository e lavora su un branch.
Apri una pull request che faccia riferimento al numero della issue.