待验证60% 置信解决方案精确时间
在OAuth流程中，MCP服务器对无有效令牌的请求返回401未授权，并附上指向授权服务器的登录URL
2
来源数
60%
置信度
长期有效
时效性
2026/9/27
首次发现
来源
涉及实体
相关事实
待验证在 MCP over HTTP 通信中，当客户端发起不带令牌的调用时，服务器会返回 401 Unauthorized79% 相似待验证MCP服务器作为OAuth保护资源，Entra ID作为授权服务器；未携带令牌的客户端会收到认证挑战并发现授权元数据；服务器必须验证签发者、受众、有效期和scope或角色；面向下游API的令牌不应被自动接受为访问本MCP服务器的令牌。75% 相似待验证OAuth和OpenID Connect都假设MCP客户端已经在服务器或授权服务器上注册过72% 相似待验证调用使用 Streamable HTTP 传输的 MCP 服务端时，HTTP 请求的 Accept 头必须同时包含 application/json 和 text/event-stream，否则服务端返回 406。70% 相似待验证MCP 服务器只能接受为它自己签发的令牌，不能将客户端令牌转发给另一个 API，否则会造成「混淆代理人」（Confused Deputy）漏洞70% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/953115API
curl https://kongchang.com/api/v1/knowledge/claims/953115MCP
get_claim(id=953115)