[Client] Implement OAuth scope handling (WWW-Authenticate, scopes_supported, step-up, retry-limit, omitted)

Offen

#322 erstellt am 19.5.2026 1 Kommentar 0 Reaktionen 0 zugewiesene Personen Auf GitHub ansehen

Dieses Issue hat noch niemand übernommen.

Bewertung

Schwierigkeit: 4/5
Geschätzter Aufwand: 3-5 Tage
Anfängerfreundlichkeit: 48/100

Issue-Typ: Feature
Klarheit: Größtenteils klar
Aktivitätsstatus: Ruhig
Tech-Stack: php
Bereich: api, authentication

Rechercherichtung

Beginne mit Mcp\Client\Auth\ScopeResolver und AuthCoordinator und sieh dir anschließend WwwAuthenticateParser und die fünf benannten Konformitätsszenarien an. Überprüfe jeden Pfad der Scope-Auflösung, einschließlich ausgelassener Scopes, und bestätige, dass Step-up-Wiederholungen bei insufficient_scope auf eine begrenzt sind; die Unit-Tests und alle fünf Baseline-Szenarien sollten erfolgreich sein.

Vom Indexierungsmodell aus dem Issue-Text verfasst.

Beschreibung

auth Client enhancement improves spec compliance

Context

Five baseline scenarios cover scope acquisition strategies the client must follow when constructing authorize/token requests:

auth/scope-from-www-authenticate — parse scope="<list>" from WWW-Authenticate insufficient_scope challenges and request those scopes on next authorize.
auth/scope-from-scopes-supported — when no challenge hint, fall back to scopes_supported from AS metadata.
auth/scope-omitted-when-undefined — when neither source provides scopes, omit the scope parameter entirely (do not send empty string).
auth/scope-step-up — on 403/401 with error=insufficient_scope, restart auth flow requesting the augmented scope set.
auth/scope-retry-limit — bound step-up retries to one to prevent infinite loops.

Scope

Mcp\Client\Auth\ScopeResolver consulted by AuthCoordinator before every authorize/token request.
WwwAuthenticateParser returning scope, error, error_description, resource_metadata.
Step-up retry counter held in AuthCoordinator state.

Conformance scenarios unblocked

All 5 scope scenarios above.

Dependencies

Blocked by: #316 (401 plumbing), #318 (AS metadata), #319 (Auth Code flow).

Acceptance

Unit tests per resolution path.
Conformance: 5 baseline scenarios pass.

cc @soyuka

Vorherrschende Sprache: PHP
Sterne: 1.6k
Forks: 173
Ø Merge: 2 T. 49 Min.
Gemergte PRs (30 T.): 23

Beitragsleitfaden

Beitragsleitfaden öffnen

Erste Schritte

Lesen Sie das ganze Issue und danach den Beitragsleitfaden des Projekts.
Schreiben Sie ins Issue, dass Sie es übernehmen — das erspart doppelte Arbeit.
Forken Sie das Repository und arbeiten Sie in einem Branch.
Öffnen Sie einen Pull Request, der die Issue-Nummer nennt.

Mehr aus modelcontextprotocol/php-sdk

[Server] Handler type uses bare Closure, hard to decorate RegistryInterface under strict PHPStan Offen

Server

Schwierigkeit 1/5 Unter einer Stunde Anfängerfreundlichkeit 78/100

modelcontextprotocol/php-sdk#468 · 2 Kommentare · Erstellt am 20.8.2026
Builder::build() silently skips configured file-based discovery when symfony/finder is missing — should fail loudly Offen

needs confirmation needs maintainer action Server

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 68/100

modelcontextprotocol/php-sdk#398 · 1 Reaktion · Erstellt am 17.7.2026
[Schema] No support for additonalProperties in tool input schema Offen

enhancement

Schwierigkeit 2/5 1-3 Stunden Anfängerfreundlichkeit 68/100

modelcontextprotocol/php-sdk#370 · Erstellt am 31.5.2026
[Server] Decode JSON-RPC objects as stdClass, not associative arrays Offen

enhancement

Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 55/100

modelcontextprotocol/php-sdk#510 · 1 Kommentar · Erstellt am 14.9.2026
[Client] HttpTransport resumes an Amp-suspended Fiber with a JSON-RPC error Offen

bug

Schwierigkeit 4/5 3-5 Tage Anfängerfreundlichkeit 45/100

modelcontextprotocol/php-sdk#504 · Erstellt am 09.9.2026

Alle Issues in modelcontextprotocol/php-sdk