resource_url_from_server_url preserves explicit default ports

Initial checks

• I tested the current main branch (6e30452).
• I searched existing issues and pull requests for this behavior.

Description

resource_url_from_server_url() lowercases the scheme/authority and removes the fragment, but it preserves an explicitly specified default port. This makes an RFC 8707 resource URL such as https://example.com:443/mcp compare unequal to the equivalent https://example.com/mcp value used by Protected Resource Metadata.

RFC 3986 section 6.2.3 treats an explicit default port as equivalent to an omitted port. Pydantic also normalizes the metadata URL by dropping the default port. The SDK currently canonicalizes only one side, so check_resource_allowed() can reject an otherwise equivalent resource and abort OAuth resource validation.

Expected: HTTP port 80 and HTTPS port 443 are removed during canonicalization; non-default ports remain unchanged.

Example code

from mcp.shared.auth_utils import check_resource_allowed, resource_url_from_server_url

canonical = resource_url_from_server_url("https://example.com:443/mcp")
print(canonical)  # current: https://example.com:443/mcp
print(check_resource_allowed(canonical, "https://example.com/mcp"))  # current: False

Environment

• Python 3.12
• MCP Python SDK main at 6e30452

I used AI assistance while investigating this issue and reviewed and reproduced the behavior locally.

Bắt đầu tại resource_url_from_server_url() trong mcp.shared.auth_utils và tái hiện ví dụ với các cổng mặc định và không mặc định được chỉ rõ. Xác nhận rằng HTTP 80 và HTTPS 443 được loại bỏ trong khi các cổng không mặc định vẫn được giữ lại, đồng thời xác minh rằng check_resource_allowed() chấp nhận các URL tài nguyên chuẩn hóa tương đương.