MCP Auth 使用指南

适用范围

MCP Auth 用于为 MCP Server 配置 OAuth 客户端、Scope 和资源元数据。本文说明管理员如何创建 MCP Auth、管理静态客户端与 DCR、查看元数据以及调整应用设置。

MCP Auth 与 AI Agent 中调用 MCP Tool 的节点不是同一功能：

MCP Auth 负责 MCP Server 的 OAuth 接入与客户端管理。

AI Agent 的 MCP Tool 节点负责在流程中调用已经配置好的 MCP 工具。

用户授权产生的 Agent 身份与此处客户端配置是不同对象。需要查询授权范围或撤销一条用户委托身份时，参阅 Agent 身份管理。

准备工作

当前账号具有查看或管理 MCP Auth 的权限。

已准备可通过 HTTP 或 HTTPS 访问的 MCP Server URL。

已确认客户端允许使用的回调地址。

生产环境使用的 Client Secret 必须通过安全渠道保存，不能出现在截图、工单或公开文档中。

创建 MCP Auth

MCP Auth 列表页显示应用、状态和创建入口

进入 MCP Auth

在应用相关菜单中进入 MCP Auth 页面。

创建应用

点击创建按钮，填写：

应用名称：2–50 个字符。

MCP Server URL：必须以 http:// 或 https:// 开头。

点击创建并配置后，系统进入该 MCP Auth 的配置页面。

检查应用状态

返回列表后，可查看应用名称、MCP Server URL 和状态。只有在完成客户端、Scope 和服务端配置并验证无误后，才建议启用生产使用。

新建 MCP Auth 时填写应用名称和 MCP Server URL

管理客户端认证

配置页的 客户端认证管理 包含 DCR 开关和已注册客户端列表。

添加静态客户端

新建客户端

在已注册客户端区域点击添加，填写客户端名称、Client Secret、回调地址和访问令牌有效期。

配置客户端名称

客户端名称为必填项，长度为 2–50 个字符。

配置 Client Secret

Client Secret 为必填项。可使用页面提供的重新生成操作产生新值。

保存后应立即通过安全方式交付给客户端负责人，截图时必须遮挡。

配置回调地址

回调地址为必填项，必须以 http:// 或 https:// 开头。生产环境应使用实际客户端登记的安全地址。

配置令牌有效期

访问令牌有效期以秒为单位，允许范围为 1–31536000。

静态客户端创建后，列表展示客户端名称、回调地址、Client ID 和来源。编辑静态客户端时，可以复制 Client ID、查看或重新生成 Client Secret，并修改允许编辑的字段。

重新生成 Client Secret 后，使用旧 Secret 的客户端可能无法继续认证。执行前应完成影响评估和客户端切换。

管理 DCR

DCR 用于允许客户端进行动态注册。管理员可以在客户端认证管理页启用或关闭 DCR。

DCR 创建的客户端在列表中标记为动态来源。编辑 DCR 客户端时，客户端名称与回调地址等注册信息由动态注册结果决定，页面会限制直接修改；令牌有效期仍按当前页面允许的字段处理。

关闭 DCR 不等同于删除已经注册的客户端。关闭后应再次检查客户端列表，并按实际安全策略决定是否删除不再使用的客户端。

管理 Scope

Scope 用于声明客户端可以申请的授权范围。

进入 Scope 管理

打开 MCP Auth 配置页的 Scope 管理。

添加 Scope

填写 Scope 名称，并按需填写描述后保存。

核对客户端使用范围

Scope 创建后会显示在列表中。应确保客户端申请的 Scope 已在当前 MCP Auth 中配置。

删除不再使用的 Scope

删除前先确认是否仍有客户端依赖该 Scope。删除操作需要二次确认。

查看资源元数据

打开 元数据 页签后，页面展示当前 MCP Auth 的资源元数据 JSON。

点击复制元数据，可复制页面当前展示的完整 JSON。

将元数据交付给客户端或 MCP Server 前，应核对其中的地址和 Scope 是否属于当前环境。

不要跨测试、预发和生产环境复用未核对的元数据。

修改设置

在 应用设置 中可以修改：

应用名称。

MCP Server URL。

保存后，返回列表或重新进入详情页确认修改结果。修改 MCP Server URL 后，还应重新验证客户端发现、授权和访问链路。

启用、停用与删除

列表中的状态开关用于启用或停用 MCP Auth。

停用前应确认是否有正在使用的客户端。

删除操作不可作为普通停用手段；删除前需核对客户端、Scope 和外部系统引用。

验证结果

MCP Auth 列表能正确显示应用名称、Server URL 和状态。

静态客户端能使用正确的 Client ID、Client Secret 和回调地址完成认证。

DCR 开关状态与动态注册结果一致。

客户端申请的 Scope 已在 Scope 列表中配置。

资源元数据中的环境地址和授权范围正确。

停用后未授权访问被正确阻断。

文档和截图中没有泄露 Client Secret、Token 或真实客户信息。

常见问题

为什么回调地址无法保存？

回调地址必须以 http:// 或 https:// 开头。还需确认地址属于当前客户端和当前环境。

为什么 DCR 客户端的名称或回调地址不可编辑？

DCR 客户端的注册信息来自动态注册。页面会限制直接修改这类字段，以避免管理端配置与注册结果不一致。

重新生成 Client Secret 后需要做什么？

将新 Secret 通过安全渠道更新到客户端，验证新凭证生效后再停止旧配置的使用。不要在聊天、截图或公开文档中传递 Secret。

适用范围#

准备工作#

创建 MCP Auth#

管理客户端认证#

添加静态客户端#

管理 DCR#

管理 Scope#

查看资源元数据#

修改设置#

启用、停用与删除#

验证结果#

常见问题#