[Client][Auth] SEP-2468: Validate iss parameter in authorization response (RFC 9207)

Implements SEP-2468 for the MCP Spec 2026-07-28 release.

Tracked by umbrella #338.

Spec summary

Requires MCP authorization responses to include an explicit iss (issuer) parameter per RFC 9207. Clients MUST validate iss against the AS that initiated the flow to mitigate authorization mix-up attacks in multi-IdP environments.

PHP SDK changes

• When handling the authorization-code redirect, the client must validate the returned iss matches the AS that produced the authorization_endpoint URL.
• Required for any multi-AS scenario; cross-cuts with #319 (Auth Code + PKCE) but filed separately because the validation logic crosses callback + AS-metadata state.
• Server-side: N/A — MCP servers are resource servers, not authorization servers; iss is emitted by the AS.

Related

• Umbrella #338
• Sub-task / depends on: #319 (Auth Code + PKCE foundation)

Bắt đầu với việc xử lý chuyển hướng authorization-code của client và state của siêu dữ liệu AS đã tạo ra URL authorization_endpoint. Xem xét nền tảng Auth Code + PKCE trong #319 và các yêu cầu trong RFC 9207; được xem là hoàn tất khi xác thực iss được trả về với authorization server đã khởi tạo, bao gồm cả các flow có nhiều AS.