Add wildcard pattern support for `allowed_hosts` in transport security

Đang mở

#2,141 mở ngày 25/2/2026 1 bình luận 0 reaction 1 người được giao Xem trên GitHub

@pcarleton đang làm issue này rồi.

Từ ngày 5/3/2026.

Đánh giá

Issue này chưa được đánh giá.

Mô tả

enhancement needs confirmation

Description

Problem

Currently, the allowed_hosts configuration in TransportSecuritySettings only supports exact string matching link. This is too restrictive for real-world scenarios where you need to allow multiple subdomains under the same parent domain.

For example, if you want to allow app.mysite.com, api.mysite.com, admin.mysite.com, etc., you currently need to list each subdomain explicitly:

allowed_hosts=["app.mysite.com", "api.mysite.com", "admin.mysite.com", ...]

This becomes impractical when you have many subdomains or dynamic subdomain generation.

Proposed Solution

Add wildcard pattern support similar to Starlette's TrustedHostMiddleware or Django's ALLOWED_HOSTS , allowing patterns like:

*.mysite.com - matches any subdomain of mysite.com (e.g., app.mysite.com, api.mysite.com) as well as the base domain mysite.com
example.com:* - matches example.com with any port (already supported)

Example Usage

from mcp.server.transport_security import TransportSecuritySettings

settings = TransportSecuritySettings(
    enable_dns_rebinding_protection=True,
    allowed_hosts=["*.mysite.com", "localhost:*"],
)

I'd be happy to follow up and create a PR.

References

No response

Ngôn ngữ chính: Python
Star: 24.3k
Fork: 4k
Merge trung bình: 1 ngày 19 phút
Pull request đã merge (30 ngày): 29

Hướng dẫn đóng góp

Mở hướng dẫn đóng góp

Bắt đầu từ đâu

Đọc hết issue, rồi đọc hướng dẫn đóng góp của dự án.
Bình luận trên issue rằng bạn sẽ nhận — tránh hai người làm cùng một việc.
Fork repository và làm thay đổi trên một nhánh.
Mở pull request có tham chiếu số hiệu của issue.

Issue khác của modelcontextprotocol/python-sdk

Streamable HTTP client logs a WARNING for valid 202 Accepted on session termination (DELETE) Đang mở

v1 v2

Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 85/100

modelcontextprotocol/python-sdk#3546 · 5 bình luận · Mở ngày 19/9/2026
Server ClientAuthenticator requires client_id in token body, rejecting valid client_secret_basic requests (RFC 6749 §2.3.1) Đang mở

v1 v2

Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 76/100

modelcontextprotocol/python-sdk#3545 · 1 bình luận · Mở ngày 18/9/2026
Revocation requires client_secret to be present Đang mở

v1 v2

Độ khó 1/5 Dưới một giờ Mức phù hợp với người mới 91/100

modelcontextprotocol/python-sdk#3508 · 2 bình luận · Mở ngày 15/9/2026
Does same-origin redirect enforcement break MCP servers behind a reverse proxy? Đang mở

Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 64/100

modelcontextprotocol/python-sdk#3504 · Mở ngày 15/9/2026
Streamable HTTP stateless servers hang clients on the listen-mode GET (_handle_get_request opens a hold-open SSE stream) Đang mở

v1 v2

Độ khó 2/5 1-3 giờ Mức phù hợp với người mới 82/100

modelcontextprotocol/python-sdk#3492 · 1 bình luận · Mở ngày 11/9/2026

Tất cả issue của modelcontextprotocol/python-sdk