· Enterprise AI POCs — Claims MCP OAuth
为什么 MCP 需要 OAuth,而不是简单发个 API key
每次有人第一次搭 MCP server 都会问这个问题:它不就是个调用几个函数的 HTTP 端点吗,为什么不像其他内部服务一样发个 API key,非要折腾 OAuth 2.1、PKCE、JWT 这一整套?
authorization
按文章上的标签过滤归档。
· Enterprise AI POCs — Claims MCP OAuth
Scope 不等于 Policy:claims-mcp-oauth-poc 里的第二道墙
这个系列的[第一篇](2026-07-13-mcp-oauth-vs-api-key.zh.md)和[第二篇](2026-07-13-mcp-auth-api-key-vs-oauth-pkce.zh.md)讲了 claims-mcp-oauth-poc 为什么要用 OAuth,以及协议本身到底检查了什么——签名、issuer、audience、过期时…
· Enterprise AI POCs — Claims MCP OAuth
MCP 认证机制:发现阶段、PKCE,以及每次调用到底在检查什么
[上一篇](2026-07-13-mcp-oauth-vs-api-key.zh.md)讲了 claims-mcp-oauth-poc 为什么要用 OAuth 2.1 + PKCE 而不是一个简单的 API key——简短版本是:MCP 真实的形状是三方(用户、agent、resource server),而一个静态 key 是个两方原语,表达不出"这…