[2026-07-28] Authorization hardening (OAuth/OIDC)

Mô tả

Tracking issue for the MCP Spec 2026-07-28 release — Authorization hardening milestone.

Most of this milestone overlaps with the existing client-OAuth backlog (#315–#326). New SEP-specific work concentrates on issuer validation, AS-binding semantics, server-side scope emission, and OIDC offline_access handling.

SEPs covered

SEP	Title	Spec PR	Coverage
SEP-2468	Recommend `iss` Parameter (RFC 9207)	#2468	New issue
SEP-2352	Authorization Server binding and migration	#2352	New issue
SEP-2351	RFC 8414 well-known URI suffix	#2351	Covered by #318
SEP-2350	Client-side scope accumulation in step-up	#2350	Client covered by #322; new server-side issue
SEP-2207	OIDC-flavored refresh token guidance	#2207	New issues (client + server)
SEP-837	OIDC `application_type` during DCR	#837	Covered by #320 + #321

Sub-issues

#360 — SEP-2468: Validate iss parameter in authorization response (client)
#361 — SEP-2352: Key DCR/tokens by AS issuer; reject cross-AS reuse (client)
#362 — SEP-2350: Emit per-operation scopes in insufficient_scope 403 responses (server)
#363 — SEP-2207: Request offline_access against OIDC-flavored AS (client)
#364 — SEP-2207: Audit PRM to ensure offline_access is not advertised as required (server)

Existing issues to annotate with SEP refs

#315 (TokenStorage) → SEP-2352
#318 (RFC 8414 AS metadata) → SEP-2351
#319 (Auth Code + PKCE) → SEP-2468, SEP-2207
#320 (DCR) → SEP-2352, SEP-837
#321 (token_endpoint_auth_method) → SEP-837
#322 (scope handling/step-up) → SEP-2350
#323 (refresh_token grant) → SEP-2207

Notes

All six SEPs are merged.
PHP SDK client-side OAuth is largely unimplemented; the bulk of work is therefore on the client side via the existing #315–#326 backlog plus the new SEP-specific issues above. Server-side OAuth middleware needs targeted PRM/WWW-Authenticate audits only.

Bắt đầu từ đâu

Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.

Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.

Fork repository và làm thay đổi trên một nhánh.

Mở pull request có tham chiếu số hiệu của issue.

Hướng nghiên cứu

Bắt đầu bằng việc xem xét các sub-issue #360–#364 và backlog OAuth liên quan #315–#326, sau đó đọc các tham chiếu SEP được liên kết và phần triển khai authorization hiện có. Tracking issue này hoàn tất khi năm sub-issue của nó được giải quyết và các cuộc audit PRM và WWW-Authenticate được liệt kê đã hoàn thành.

Do mô hình lập chỉ mục viết ra từ nội dung của issue.

Đánh giá

Công nghệ

php

Lĩnh vực

authentication, security

Loại issue

Tính năng

Độ khó

5/5

Thời gian dự kiến

Hơn một tuần

Mức độ hoạt động

Ít trao đổi

Độ rõ ràng

Cần làm rõ

Mức phù hợp với người mới

25/100