Framework does not handle refreshed tokens correctly

未关闭

#1,250 创建于 2025年8月8日 12 条评论 1 个 reaction 已指派 0 人在 GitHub 查看

还没有人认领这个 Issue。

评估

难度: 4/5
预计耗时: 3-5 天
新手友好度: 38/100

Issue 类型: 缺陷
描述清晰度: 需要澄清
活跃度: 停滞
技术栈: python
领域: authentication, security

调研方向

首先，使用 Keycloak、offline_access、TokenVerifier 和客户端令牌刷新来复现所报告的流程。跟踪刷新前后的 get_access_token()，然后验证其返回的 JWT 反映的是刷新后的令牌，而不是原始值。

由索引模型根据 Issue 内容生成。

描述

auth bug P1 ready for work

Initial Checks

I confirm that I'm using the latest version of MCP Python SDK
I confirm that I searched for my issue in https://github.com/modelcontextprotocol/python-sdk/issues before opening this issue

Description

I use python sdk with Keycloak as external authz provider. I allowed my mcp client (in my test scenario it is latest VSC) to get AT and RT (using offline_access scope). I have implemented a TokenVerifier that is doing validation of the MCP keycloak JWT. And then in some MCP tool, i use get_access_token() from the framework to use the JWT. I log both values and i can clearly see that it works fine initially, but after the token was refreshed on client-side, i still get the old accesst token from get_access_token() function. Not sure if you intended to support token refresh in a clean way. But IMHO that is a bug that should be fixed soon.

Example Code

Python & MCP Python SDK

1.12.4

主要语言: Python
星标: 24.3k
派生: 4k
平均合并: 1 天 11 小时
30 天内合并 PR: 30

贡献指南

打开贡献指南

从这里开始

先读完整个 Issue，再读项目的贡献指南。
在 Issue 下留言说明你要接手 —— 这能避免两个人做同样的事。
Fork 仓库，在一个分支上完成修改。
提交 Pull Request，并在描述里引用这个 Issue 编号。

modelcontextprotocol/python-sdk 的其他 Issue

OAuth client scope handling breaks on comma-separated scope strings 未关闭

难度 2/5 1-3 小时新手友好度 75/100

modelcontextprotocol/python-sdk#3566 · 2026年9月23日创建
Streamable HTTP client logs a WARNING for valid 202 Accepted on session termination (DELETE) 未关闭

v1 v2

难度 2/5 1-3 小时新手友好度 85/100

modelcontextprotocol/python-sdk#3546 · 5 条评论 · 2026年9月19日创建
Server ClientAuthenticator requires client_id in token body, rejecting valid client_secret_basic requests (RFC 6749 §2.3.1) 未关闭

v1 v2

难度 2/5 1-3 小时新手友好度 76/100

modelcontextprotocol/python-sdk#3545 · 1 条评论 · 2026年9月18日创建
Revocation requires client_secret to be present 未关闭

v1 v2

难度 1/5 1 小时以内新手友好度 91/100

modelcontextprotocol/python-sdk#3508 · 2 条评论 · 2026年9月15日创建
Does same-origin redirect enforcement break MCP servers behind a reverse proxy? 未关闭

难度 2/5 1-3 小时新手友好度 64/100

modelcontextprotocol/python-sdk#3504 · 2026年9月15日创建

查看 modelcontextprotocol/python-sdk 的全部 Issue

相似的 Issue

issue: imported chats all show as unread in the sidebar 未关闭

bug confirmed issue

难度 2/5 1-3 小时新手友好度 75/100

open-webui/open-webui#30750 · 1 条评论 · 2026年9月24日创建
OGS AmBe example has no source.timing block, so every event sits at time zero 未关闭

难度 2/5 1-3 小时新手友好度 75/100

lanl/ScintiPix#61 · 2026年9月24日创建
Make Liquid Glass the default theme for the Research build 未关闭

enhancement

难度 2/5 1-3 小时新手友好度 75/100

OpenwaterHealth/openmotion-bloodflow-app#604 · 1 条评论 · 2026年9月24日创建
tests/puppeteer/test_openai_api_key_ui.js targets controls that do not exist and is run by no workflow 未关闭

难度 2/5 1-3 小时新手友好度 70/100

LearningCircuit/local-deep-research#6766 · 2026年9月23日创建
Delete unused args argument from main() in Python files 未关闭

good first issue

难度 1/5 1 小时以内新手友好度 90/100

ros2/launch#1014 · 2026年9月23日创建

更多 Python Issue