Don't override client_metadata.scopes if they are already set

Aberta Para iniciantes

#2,317 aberta em 20/3/2026 5 comentários 0 reações 0 responsáveis Ver no GitHub

Ninguém assumiu esta issue ainda.

Avaliação

Dificuldade: 2/5
Tempo estimado: 1-3 horas
Facilidade para iniciantes: 68/100

Tipo de issue: Bug
Clareza: Razoavelmente clara
Status de atividade: Ativa
Stack de tecnologia: python
Domínio: authentication, authorization

Direção de pesquisa

Comece em src/mcp/client/auth/oauth2.py, no código de seleção de scope do escopo async_auth_flow citado na issue; em seguida, revise a discussão do pull request vinculado e os testes existentes do cliente OAuth. O trabalho estará concluído quando os valores de client_metadata.scope configurados explicitamente forem preservados, enquanto a seleção de scope ainda ocorrer quando nenhum scope tiver sido definido.

Escrita pelo modelo de indexação a partir do texto da issue.

Descrição

auth enhancement needs decision P2

Initial Checks

I confirm that I'm using the latest version of MCP Python SDK
I confirm that I searched for my issue in https://github.com/modelcontextprotocol/python-sdk/issues before opening this issue

Description

The scope selection strategy inside async_auth_flow unconditionally requests all available scopes. This overwrites the scope list that may have been explicitly set by the client. Being able to explicitly set the requested scopes is an important use case, either to reduce the permissions granted or because the server only permits certain scopes (despite advertising others).

From https://github.com/modelcontextprotocol/python-sdk/blob/v1.26.0/src/mcp/client/auth/oauth2.py#L553-L558:

                    # Step 3: Apply scope selection strategy
                    self.context.client_metadata.scope = get_client_metadata_scopes(
                        extract_scope_from_www_auth(response),
                        self.context.protected_resource_metadata,
                        self.context.oauth_metadata,
                    )

This could be conditional on if self.context.client_metadata.scope is None.

I see that this behavior was previously suggested in https://github.com/modelcontextprotocol/python-sdk/pull/1324#discussion_r2410806282 and rejected, on the basis that "Requesting all available scopes allows the authorization server and end-user to determine appropriate permissions during the consent process". However, I think this is worth revisiting. The specific motivating example here is the official SalesForce MCP server: if the client requests scopes that are not authorized for the given client application, the server rejects the request entirely.

Example Code

Python & MCP Python SDK

python 3.12.12
sdk 1.26.0

Linguagem predominante: Python
Estrelas: 24.3k
Forks: 4k
Merge médio: 1d 19min
PRs com merge (30d): 29

Guia de contribuição

Abrir o guia de contribuição

Primeiros passos

Leia a issue inteira e depois o guia de contribuição do projeto.
Comente na issue dizendo que vai assumir — evita que duas pessoas façam o mesmo trabalho.
Faça um fork do repositório e trabalhe em uma branch.
Abra um pull request que referencie o número da issue.