Implement server-side support for Client ID Metadata Documents (CIMD)

Aberta

#1,801 aberta em 18/12/2025 3 comentários 0 reações 0 responsáveis Ver no GitHub

Ninguém assumiu esta issue ainda.

Avaliação

Dificuldade: 5/5
Tempo estimado: Mais de uma semana
Facilidade para iniciantes: 35/100

Tipo de issue: Funcionalidade
Clareza: Razoavelmente clara
Status de atividade: Estagnada
Stack de tecnologia: python
Domínio: api, authentication, backend, security

Direção de pesquisa

Comece revisando o suporte a CIMD no lado do cliente em PR #1652, além dos metadados OAuth do SDK e do tratamento da autorização no lado do servidor. Mapeie a detecção de URL client_id ausente, a busca de documentos, a validação, o armazenamento em cache e as proteções contra SSRF para os pontos de entrada existentes. Considera-se concluído quando os servidores de autorização anunciarem suporte a CIMD e atenderem aos requisitos listados de CIMD e MCP sem armazenar erros em cache.

Escrita pelo modelo de indexação a partir do texto da issue.

Descrição

auth enhancement needs decision P2

Summary

PR #1652 implemented client-side support for Client ID Metadata Documents (CIMD) per SEP-991, but the server-side implementation is missing. Authorization servers built with the Python SDK cannot currently support CIMD.

Background

CIMD (draft-ietf-oauth-client-id-metadata-document-00) allows OAuth clients to use HTTPS URLs as client identifiers, where the URL points to a JSON document containing client metadata. This is the recommended registration approach per the MCP spec (ahead of DCR).

From the MCP Authorization spec:

Authorization servers and MCP clients SHOULD support OAuth Client ID Metadata Documents

Current State

Client-side (implemented in #1652)

✅ is_valid_client_metadata_url() - validates HTTPS URLs with path component
✅ should_use_client_metadata_url() - checks if server advertises CIMD support
✅ create_client_info_from_metadata_url() - uses URL as client_id
✅ OAuth flow integration with DCR fallback

Server-side (missing)

❌ Never advertises client_id_metadata_document_supported=true in OAuth metadata
❌ No detection of URL-formatted client_ids
❌ No metadata document fetching
❌ No validation (client_id matching, redirect_uri verification, document structure)
❌ No caching infrastructure
❌ No SSRF protection for fetching

Spec Requirements for Authorization Servers

From the MCP spec and CIMD RFC:

Requirement	Level
Fetch metadata documents when encountering URL-formatted client_ids	SHOULD
Validate that fetched document's `client_id` matches the URL exactly	MUST
Validate redirect URIs against those in the metadata document	MUST
Validate document structure is valid JSON with required fields	MUST
Cache metadata respecting HTTP cache headers	SHOULD
Protect against SSRF attacks	SHOULD
Limit document size (~5KB recommended)	SHOULD
Display client_id hostname during consent	SHOULD
Never cache error responses	MUST NOT

References

MCP Spec: https://modelcontextprotocol.io/specification/2025-11-25/basic/authorization#client-id-metadata-documents
CIMD RFC: https://datatracker.ietf.org/doc/html/draft-ietf-oauth-client-id-metadata-document-00
SEP-991: https://github.com/modelcontextprotocol/modelcontextprotocol/issues/991
Client-side PR: #1652
Original tracking issue: #1538 (closed prematurely - only client-side was implemented)

_{AI Disclaimer}

Linguagem predominante: Python
Estrelas: 24.3k
Forks: 4k
Merge médio: 1d 16h
PRs com merge (30d): 25

Guia de contribuição

Abrir o guia de contribuição

Primeiros passos

Leia a issue inteira e depois o guia de contribuição do projeto.
Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
Faça um fork do repositório e trabalhe em uma branch.
Abra um pull request que referencie o número da issue.