ClientAuthenticator ignores token_endpoint_auth_method="none" when client_secret is stored

Aberta Para iniciantes

#1,842 aberta em 8/1/2026 6 comentários 0 reações 0 responsáveis Ver no GitHub

Ninguém assumiu esta issue ainda.

Avaliação

Dificuldade: 2/5
Tempo estimado: 1-3 horas
Facilidade para iniciantes: 72/100

Tipo de issue: Bug
Clareza: Claramente especificada
Status de atividade: Pouca atividade
Stack de tecnologia: python
Domínio: authentication

Direção de pesquisa

Comece em src/mcp/server/auth/middleware/client_auth.py, na lógica vinculada de ClientAuthenticator. Reproduza o caso em que token_endpoint_auth_method é none enquanto um segredo do cliente está armazenado e verifique se as credenciais da requisição não são necessárias para esse método e se os outros métodos mantêm suas verificações. Adicione ou atualize o teste de autenticação relevante para cobrir esse comportamento.

Escrita pelo modelo de indexação a partir do texto da issue.

Descrição

auth bug needs confirmation needs decision P2

Initial Checks

I confirm that I'm using the latest version of MCP Python SDK
I confirm that I searched for my issue in https://github.com/modelcontextprotocol/python-sdk/issues before opening this issue

Description

ClientAuthenticator behavior is only partially honoring token_endpoint_auth_method="none":

https://github.com/modelcontextprotocol/python-sdk/blob/6b69f6354ad01e08abc8e1b81390c3a45132f594/src/mcp/server/auth/middleware/client_auth.py#L102-L104

Essentially:

token_endpoint_auth_method="none" => skip extracting credentials from the request (correct)
client.client_secret exists => raise error if no credentials were extracted from the request (incorrect)

If token_endpoint_auth_method="none" is set, it should never be checking for a client_secret value on the request, regardless of whether a secret has ever been generated for the client.

Suggested fix is to condition the client.client_secret check on token_endpoint_auth_method not being none:

        if token_endpoint_auth_method != "none" and client.client_secret:  # pragma: no branch
            if not request_client_secret:
                raise AuthenticationError("Client secret is required")  # pragma: no cover

Example Code

Python & MCP Python SDK

1.25.0

Linguagem predominante: Python
Estrelas: 24.3k
Forks: 4k
Merge médio: 1d 19min
PRs com merge (30d): 29

Guia de contribuição

Abrir o guia de contribuição

Primeiros passos

Leia a issue inteira e depois o guia de contribuição do projeto.
Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
Faça um fork do repositório e trabalhe em uma branch.
Abra um pull request que referencie o número da issue.