[Client][Auth] SEP-2468: Validate iss parameter in authorization response (RFC 9207)

オープン

#360 2026年5月26日に作成コメント 0 件リアクション 0 件担当者 0 名 GitHub で見る

まだ誰も着手していません。

評価

難易度: 4/5
見積もり時間: 3〜5日
初心者へのやさしさ: 52/100

issue の種類: 機能追加
明瞭さ: おおむね明確
活発さ: 静か
技術スタック: php
領域: authentication, security

調査の方向性

クライアントのauthorization-codeリダイレクト処理と、authorization_endpoint URLを生成したASメタデータのstateから始めます。#319のAuth Code + PKCEの基盤とRFC 9207の要件を確認します。完了条件は、複数のASを含むフローも含め、返されたissを開始元のauthorization serverに対して検証することです。

索引モデルが issue の本文から書いたものです。

説明

2026-07-28 auth Client enhancement improves spec compliance

Implements SEP-2468 for the MCP Spec 2026-07-28 release.

Tracked by umbrella #338.

Spec summary

Requires MCP authorization responses to include an explicit iss (issuer) parameter per RFC 9207. Clients MUST validate iss against the AS that initiated the flow to mitigate authorization mix-up attacks in multi-IdP environments.

PHP SDK changes

When handling the authorization-code redirect, the client must validate the returned iss matches the AS that produced the authorization_endpoint URL.
Required for any multi-AS scenario; cross-cuts with #319 (Auth Code + PKCE) but filed separately because the validation logic crosses callback + AS-metadata state.
Server-side: N/A — MCP servers are resource servers, not authorization servers; iss is emitted by the AS.

Umbrella #338
Sub-task / depends on: #319 (Auth Code + PKCE foundation)

主要言語: PHP
スター: 1.6k
フォーク: 173
平均マージ: 2日 49分
マージ済み PR（30日）: 23

コントリビューションガイド

コントリビューションガイドを開く

はじめの一歩

issue を最後まで読み、次にプロジェクトのコントリビューションガイドを読みます。
着手することを issue にコメントします — 二人が同じ作業をするのを防げます。
リポジトリをフォークし、ブランチを切って変更します。
issue 番号を参照したプルリクエストを送ります。

modelcontextprotocol/php-sdk のほかの issue

[Server] Handler type uses bare Closure, hard to decorate RegistryInterface under strict PHPStan オープン

Server

難易度 1/5 1時間未満初心者へのやさしさ 78/100

modelcontextprotocol/php-sdk#468 · コメント 2 件 · 2026年8月20日に作成
Builder::build() silently skips configured file-based discovery when symfony/finder is missing — should fail loudly オープン

needs confirmation needs maintainer action Server

難易度 2/5 1〜3時間初心者へのやさしさ 68/100

modelcontextprotocol/php-sdk#398 · リアクション 1 件 · 2026年7月17日に作成
[Schema] No support for additonalProperties in tool input schema オープン

enhancement

難易度 2/5 1〜3時間初心者へのやさしさ 68/100

modelcontextprotocol/php-sdk#370 · 2026年5月31日に作成
[Server] Decode JSON-RPC objects as stdClass, not associative arrays オープン

enhancement

難易度 4/5 3〜5日初心者へのやさしさ 55/100

modelcontextprotocol/php-sdk#510 · コメント 1 件 · 2026年9月14日に作成
[Client] HttpTransport resumes an Amp-suspended Fiber with a JSON-RPC error オープン

bug

難易度 4/5 3〜5日初心者へのやさしさ 45/100

modelcontextprotocol/php-sdk#504 · 2026年9月9日に作成

modelcontextprotocol/php-sdk の issue をすべて見る

似ている issue

[Sync EN] `FILTER_VALIDATE_URL`: document when hosts are not required オープン

sync-en

難易度 1/5 1〜3時間初心者へのやさしさ 85/100

php/doc-fr#3569 · 2026年9月21日に作成
[Sync EN] `FILTER_VALIDATE_URL`: document lack of scheme validation オープン

sync-en

難易度 1/5 1〜3時間初心者へのやさしさ 85/100

php/doc-es#1331 · 2026年9月21日に作成
[Sync EN] `FILTER_VALIDATE_URL`: document some limitations in the validation オープン

Перевод устарел

難易度 1/5 1〜3時間初心者へのやさしさ 78/100

php/doc-ru#1889 · 2026年9月21日に作成
[6.x]: "Cannot use object of type stdClass as array" loading Users index (regression of #19182) オープン

難易度 1/5 1時間未満初心者へのやさしさ 90/100

craftcms/cms#19672 · コメント 1 件 · 2026年9月21日に作成
Add PHP tab to the Pub/Sub quickstart (and other PHP-supported building blocks) オープン

難易度 2/5 1〜3時間初心者へのやさしさ 85/100

dapr/docs#5330 · 2026年9月21日に作成

PHP の issue をもっと見る