fix(mcp): RFC 8707 resource indicator derived from gateway URL breaks upstream OAuth

Đang mở
  • Có gì không ổn?
#62,864 1 bình luận 0 reaction 0 người được giao Xem trên GitHub

Maintainer thường phản hồi trong vòng 1 ngày

Chưa có ai nhận issue này.

Đánh giá

Độ khó
3/5
Thời gian dự kiến
1-2 ngày
Mức phù hợp với người mới
68/100
Loại issue
Tính năng
Độ rõ ràng
Đặc tả rõ ràng
Mức độ hoạt động
Sôi nổi
Công nghệ
typescript
Lĩnh vực
authentication, backend-api-design

Hướng nghiên cứu

Start with packages/core/src/mcp/oauth.ts, especially configuredDiscovery(), and trace how auth_server_metadata_url affects the RFC 8707 resource sent in authorize requests. Check the OAuth configuration schema for where an override or disable option belongs. Done means the configured behavior reaches the authorize request, with coverage for a gateway URL and a remote authorization server.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Mô tả

Description

When mcp.servers.<name>.url points at a reverse-proxy gateway while oauth.auth_server_metadata_url points at the real provider's authorization-server metadata, OpenCode derives an RFC 8707 resource indicator from the gateway URL and attaches it to every authorize request (packages/core/src/mcp/oauth.ts, configuredDiscovery()).

Authorization servers that strictly validate the resource indicator reject this before showing any consent screen:

  • Miro: callback lands on error=server_error, browser shows "invalid_target"
  • Notion: HTTP 400

The same authorize URL minus the fabricated resource= parameter renders each provider's normal consent screen (verified with curl against both).

There is no declarative workaround today: the config schema exposes only optional fields (client_id, client secret, scope, callback port, redirect URI, authorization-server metadata URL) and has nothing that overrides or drops the derived indicator; dropping that last field just falls back to standard RFC 9728 discovery against the configured URL, which requires the gateway itself to publish protected-resource metadata.

Expected: when discovery is delegated via auth_server_metadata_url, let me configure which RFC 8707 resource is sent to the remote AS (e.g. oauth.resourceOverride) or disable the auto-derived one - tokens should bind to the provider's MCP resource, not to a loopback gateway URL it has never heard of.

Plugins

none relevant

OpenCode version

v2.2.5 (verified code path unchanged on v2.2.6 / current dev)

Operating System

Linux

Steps to reproduce
  1. Configure a remote MCP server whose url points at a local gateway endpoint such as http://127.0.0.1:4000/miro/mcp and set "oauth": { "auth_server_metadata_url": "https://mcp.miro.com/.well-known/oauth-authorization-server" }
  2. Run opencode mcp auth miro
  3. Browser lands on Miro's invalid_target error page instead of the consent screen

Notion variant: authorize WITH resource=http://127.0.0.1:4000/notion/mcp returns HTTP 400; without that parameter Notion proceeds to its normal OAuth flow.

Ngôn ngữ chính
TypeScript
Star
225k
Fork
30.4k
Merge trung bình
4 giờ 16 phút
Pull request đã merge (30 ngày)
528

Chuẩn bị môi trường

Bắt đầu từ đâu

  1. Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
  2. Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
  3. Fork repository và làm thay đổi trên một nhánh.
  4. Mở pull request có tham chiếu số hiệu của issue.

Issue khác của anomalyco/opencode

Tất cả issue của anomalyco/opencode

Issue tương tự

Thêm issue về TypeScript

Nhận issue mới trong hộp thư của bạn

Bản tóm tắt ngắn những issue GitHub phù hợp với người mới.