已验证65% 置信事实精确时间
每个受保护的 MCP 服务器都必须发布一份位于 /.well-known/oauth-protected-resource 的 JSON 文档，声明服务器身份、支持的权限范围及有资格签发令牌的授权服务器
3
来源数
65%
置信度
长期有效
时效性
2026/10/10
首次发现
来源
涉及实体
相关事实
待验证MCP服务器作为OAuth保护资源，Entra ID作为授权服务器；未携带令牌的客户端会收到认证挑战并发现授权元数据；服务器必须验证签发者、受众、有效期和scope或角色；面向下游API的令牌不应被自动接受为访问本MCP服务器的令牌。78% 相似待验证MCP 规范要求，除非服务器可信，否则应把工具标签视为不可信77% 相似已验证MCP采用客户端-服务器架构，基于标准化的JSON-RPC通信协议74% 相似待验证混淆代理问题是MCP安全风险之一：持有宽泛凭证的MCP Server替本不该拥有该权限的用户执行操作。73% 相似已验证MCP 在安全性设计上约定工具调用需要明确的用户授权，资源访问受权限边界约束73% 相似
引用此条事实
Stable URI
https://kongchang.com/claim/994258API
curl https://kongchang.com/api/v1/knowledge/claims/994258MCP
get_claim(id=994258)