[2026-07-28] Authorization hardening (OAuth/OIDC)
まだ誰も着手していません。
評価
- 難易度
- 5/5
- 見積もり時間
- 1週間以上
- 初心者へのやさしさ
- 25/100
- issue の種類
- 機能追加
- 明瞭さ
- 説明が足りない
- 活発さ
- 静か
- 技術スタック
- php
調査の方向性
まずサブ Issue #360–#364 と関連する OAuth backlog #315–#326 を確認し、次にリンクされている SEP 参照と既存の認可実装を読みます。この追跡 Issue は、5 つのサブ Issue が解決され、記載されている PRM および WWW-Authenticate の監査が完了した時点で完了です。
索引モデルが issue の本文から書いたものです。
説明
Tracking issue for the MCP Spec 2026-07-28 release — Authorization hardening milestone.
Most of this milestone overlaps with the existing client-OAuth backlog (#315–#326). New SEP-specific work concentrates on issuer validation, AS-binding semantics, server-side scope emission, and OIDC offline_access handling.
SEPs covered
| SEP | Title | Spec PR | Coverage |
|---|---|---|---|
| SEP-2468 | Recommend iss Parameter (RFC 9207) |
#2468 | New issue |
| SEP-2352 | Authorization Server binding and migration | #2352 | New issue |
| SEP-2351 | RFC 8414 well-known URI suffix | #2351 | Covered by #318 |
| SEP-2350 | Client-side scope accumulation in step-up | #2350 | Client covered by #322; new server-side issue |
| SEP-2207 | OIDC-flavored refresh token guidance | #2207 | New issues (client + server) |
| SEP-837 | OIDC application_type during DCR |
#837 | Covered by #320 + #321 |
Sub-issues
- #360 — SEP-2468: Validate
issparameter in authorization response (client) - #361 — SEP-2352: Key DCR/tokens by AS issuer; reject cross-AS reuse (client)
- #362 — SEP-2350: Emit per-operation scopes in
insufficient_scope403 responses (server) - #363 — SEP-2207: Request
offline_accessagainst OIDC-flavored AS (client) - #364 — SEP-2207: Audit PRM to ensure
offline_accessis not advertised as required (server)
Existing issues to annotate with SEP refs
- #315 (TokenStorage) → SEP-2352
- #318 (RFC 8414 AS metadata) → SEP-2351
- #319 (Auth Code + PKCE) → SEP-2468, SEP-2207
- #320 (DCR) → SEP-2352, SEP-837
- #321 (token_endpoint_auth_method) → SEP-837
- #322 (scope handling/step-up) → SEP-2350
- #323 (refresh_token grant) → SEP-2207
Notes
- All six SEPs are merged.
- PHP SDK client-side OAuth is largely unimplemented; the bulk of work is therefore on the client side via the existing #315–#326 backlog plus the new SEP-specific issues above. Server-side OAuth middleware needs targeted PRM/
WWW-Authenticateaudits only.
- 主要言語
- PHP
- スター
- 1.6k
- フォーク
- 173
- 平均マージ
- 2日 49分
- マージ済み PR（30日）
- 23
コントリビューションガイド
はじめの一歩
- issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
- 着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
- リポジトリをフォークし、ブランチを切って変更します。
- issue 番号を参照したプルリクエストを送ります。
modelcontextprotocol/php-sdk のほかの issue
-
[Server] Handler type uses bare Closure, hard to decorate RegistryInterface under strict PHPStan オープンServer
難易度 1/5 1時間未満 初心者へのやさしさ 78/100
modelcontextprotocol/php-sdk#468 · コメント 2 件 ·
-
needs confirmation needs maintainer action Server
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
modelcontextprotocol/php-sdk#398 · リアクション 1 件 ·
-
enhancement
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
modelcontextprotocol/php-sdk#370 ·
-
enhancement
難易度 4/5 3〜5日 初心者へのやさしさ 55/100
modelcontextprotocol/php-sdk#510 · コメント 1 件 ·
-
bug
難易度 4/5 3〜5日 初心者へのやさしさ 45/100
modelcontextprotocol/php-sdk#504 ·
modelcontextprotocol/php-sdk の issue をすべて見る
似ている issue
-
sync-en
難易度 1/5 1〜3時間 初心者へのやさしさ 85/100
-
[6.x]: "Cannot use object of type stdClass as array" loading Users index (regression of #19182) オープン
難易度 1/5 1時間未満 初心者へのやさしさ 90/100
-
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
getgrav/grav-plugin-api#45 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 78/100
RSS-Bridge/rss-bridge#5098 ·
-
難易度 2/5 1〜3時間 初心者へのやさしさ 68/100
phingofficial/phing#2025 ·