Framework does not handle refreshed tokens correctly

オープン

#1,250 2025年8月8日に作成コメント 12 件リアクション 1 件担当者 0 名 GitHub で見る

まだ誰も着手していません。

評価

難易度: 4/5
見積もり時間: 3〜5日
初心者へのやさしさ: 38/100

issue の種類: バグ
明瞭さ: 説明が足りない
活発さ: 停滞
技術スタック: python
領域: authentication, security

調査の方向性

まず、Keycloak、offline_access、TokenVerifier、クライアント側でのトークン更新を使って、報告されたフローを再現します。更新の前後で get_access_token() を追跡し、その戻り値の JWT が元の値ではなく更新後のトークンを反映していることを確認します。

索引モデルが issue の本文から書いたものです。

説明

auth bug P1 ready for work

Initial Checks

I confirm that I'm using the latest version of MCP Python SDK
I confirm that I searched for my issue in https://github.com/modelcontextprotocol/python-sdk/issues before opening this issue

Description

I use python sdk with Keycloak as external authz provider. I allowed my mcp client (in my test scenario it is latest VSC) to get AT and RT (using offline_access scope). I have implemented a TokenVerifier that is doing validation of the MCP keycloak JWT. And then in some MCP tool, i use get_access_token() from the framework to use the JWT. I log both values and i can clearly see that it works fine initially, but after the token was refreshed on client-side, i still get the old accesst token from get_access_token() function. Not sure if you intended to support token refresh in a clean way. But IMHO that is a bug that should be fixed soon.

Example Code

Python & MCP Python SDK

1.12.4

主要言語: Python
スター: 24.3k
フォーク: 4k
平均マージ: 1日 11時間
マージ済み PR（30日）: 30

コントリビューションガイド

コントリビューションガイドを開く

はじめの一歩

issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
リポジトリをフォークし、ブランチを切って変更します。
issue 番号を参照したプルリクエストを送ります。

modelcontextprotocol/python-sdk のほかの issue

OAuth client scope handling breaks on comma-separated scope strings オープン

難易度 2/5 1〜3時間初心者へのやさしさ 75/100

modelcontextprotocol/python-sdk#3566 · 2026年9月23日に作成
Streamable HTTP client logs a WARNING for valid 202 Accepted on session termination (DELETE) オープン

v1 v2

難易度 2/5 1〜3時間初心者へのやさしさ 85/100

modelcontextprotocol/python-sdk#3546 · コメント 5 件 · 2026年9月19日に作成
Server ClientAuthenticator requires client_id in token body, rejecting valid client_secret_basic requests (RFC 6749 §2.3.1) オープン

v1 v2

難易度 2/5 1〜3時間初心者へのやさしさ 76/100

modelcontextprotocol/python-sdk#3545 · コメント 1 件 · 2026年9月18日に作成
Revocation requires client_secret to be present オープン

v1 v2

難易度 1/5 1時間未満初心者へのやさしさ 91/100

modelcontextprotocol/python-sdk#3508 · コメント 2 件 · 2026年9月15日に作成
Does same-origin redirect enforcement break MCP servers behind a reverse proxy? オープン

難易度 2/5 1〜3時間初心者へのやさしさ 64/100

modelcontextprotocol/python-sdk#3504 · 2026年9月15日に作成

modelcontextprotocol/python-sdk の issue をすべて見る

似ている issue

PATCH /interviews/{id} 的 goal 字段没有任何长度上限，500KB 字符串直接落库且每次 GET detail 都全量带回オープン

bug

難易度 2/5 1〜3時間初心者へのやさしさ 75/100

xinnan-tech/xiaozhi-fde-talk#263 · 2026年9月24日に作成
rules: REQ-0480 'left fold' jargon is redundant with its own plain restatement オープン

rules

難易度 1/5 1時間未満初心者へのやさしさ 90/100

elong0527/yamaa#978 · 2026年9月24日に作成
Validation discards output from runners that report on stderr (jest, unittest) オープン

難易度 2/5 1〜3時間初心者へのやさしさ 70/100

huggingface/Repo2RLEnv#163 · コメント 1 件 · 2026年9月24日に作成
Source link in quantize_embeddings have shifted code highlights オープン

難易度 1/5 1時間未満初心者へのやさしさ 95/100

huggingface/sentence-transformers#4074 · 2026年9月24日に作成
Queue insertion button ("插入排队消息") missing in api_server sessions — canInsert allowlist only covers cli/global_agent オープン

comp/dashboard invalid P3

難易度 2/5 1〜3時間初心者へのやさしさ 70/100

NousResearch/hermes-agent#121143 · 2026年9月24日に作成

Python の issue をもっと見る