客户端注册

• 客户端 ID 元数据文档：当客户端和服务器没有先前关系时（最常见）
• 预注册：当客户端和服务器已有既存关系时
• 动态客户端注册：用于向后兼容或特定要求

1. 如果客户端有针对该服务器的预注册客户端信息可用，则使用它
2. 如果授权服务器指示它支持客户端 ID 元数据文档（通过 OAuth Authorization Server Metadata 中的 client_id_metadata_document_supported），则使用它们
3. 如果授权服务器支持动态客户端注册（通过 OAuth Authorization Server Metadata 中的 registration_endpoint），则将其用作回退
4. 如果没有其他选项可用，提示用户输入客户端信息

​

客户端 ID 元数据文档

​

实现要求

• 客户端**必须（MUST）**在一个遵循 RFC 要求的 HTTPS URL 处托管它们的元数据文档
• client_id URL **必须（MUST）**使用 “https” scheme 并包含一个 path 组成部分，例如 https://example.com/client.json
• 元数据文档**必须（MUST）**至少包含以下属性：client_id、client_name、redirect_uris
• 客户端**必须（MUST）**确保元数据中的 client_id 值与文档 URL 完全匹配
• 客户端**可以（MAY）**使用 private_key_jwt 进行客户端认证（例如用于对令牌端点的请求），并采用 Client ID Metadata Document 第 6.2 节中所述的适当 JWKS 配置

• **应当（SHOULD）**在遇到 URL 格式的 client_id 时获取元数据文档
• **必须（MUST）**校验所获取文档的 client_id 与 URL 完全匹配
• **应当（SHOULD）**遵循 HTTP 缓存 header 缓存元数据
• **必须（MUST）**对照元数据文档中的重定向 URI 校验授权请求中出示的重定向 URI
• **必须（MUST）**校验文档结构是有效的 JSON 并包含必需字段
• **应当（SHOULD）**遵循 Client ID Metadata Document 第 6 节以及客户端 ID 元数据文档安全中的安全考量

​

元数据文档示例

{
  "client_id": "https://app.example.com/oauth/client-metadata.json",
  "client_name": "Example MCP Client",
  "client_uri": "https://app.example.com",
  "logo_uri": "https://app.example.com/logo.png",
  "redirect_uris": [
    "http://127.0.0.1:3000/callback",
    "http://localhost:3000/callback"
  ],
  "grant_types": ["authorization_code"],
  "response_types": ["code"],
  "token_endpoint_auth_method": "none"
}

​

客户端 ID 元数据文档流程

​

公布 CIMD 支持

{
  "client_id_metadata_document_supported": true
}

​

预注册

1. 为 MCP 客户端在与该授权服务器交互时使用而专门硬编码一个 client ID（以及，如果适用，客户端凭据），或
2. 在用户自己注册一个 OAuth 客户端（例如通过服务器托管的配置界面）之后，向用户呈现一个允许他们输入这些详情的 UI。

​

动态客户端注册

​

应用类型和重定向 URI 约束

• 原生应用（桌面应用、移动应用、CLI 工具，以及通过 localhost 访问的本地托管 Web 应用）**应当（SHOULD）**使用 application_type: "native"
• Web 应用（从非本地主机提供的、基于浏览器的远程应用）**应当（SHOULD）**使用 application_type: "web"

​

授权服务器绑定