客户端注册

• Client ID Metadata Documents：当客户端和服务器没有既有关系时使用（最常见）
• Pre-registration：当客户端和服务器已有关系时使用
• Dynamic Client Registration：用于向后兼容或特定要求

1. 如果客户端已有该服务器的预注册客户端信息，则使用该信息
2. 如果授权服务器表示支持 Client ID Metadata Documents（通过 OAuth 授权服务器元数据中的 client_id_metadata_document_supported），则使用 Client ID Metadata Documents
3. 如果授权服务器支持 Dynamic Client Registration（通过 OAuth 授权服务器元数据中的 registration_endpoint），则将其作为回退方案
4. 如果没有其他可用选项，则提示用户输入客户端信息

​

Client ID Metadata Documents

​

Implementation Requirements

• 客户端 MUST 按照 RFC 要求在 HTTPS URL 上托管其元数据文档
• client_id URL MUST 使用 “https” scheme 并包含路径组件，例如 https://example.com/client.json
• 元数据文档 MUST 至少包含以下属性：client_id、client_name、redirect_uris
• 客户端 MUST 确保元数据中的 client_id 值与文档 URL 完全匹配
• 客户端 MAY 使用 private_key_jwt 进行客户端认证（例如，对令牌端点的请求），并采用 Section 6.2 of Client ID Metadata Document 中描述的适当 JWKS 配置

• 遇到 URL 形式的 client_ids 时，SHOULD 获取元数据文档
• MUST 验证所获取文档的 client_id 与该 URL 完全匹配
• SHOULD 按照 HTTP 缓存标头缓存元数据
• MUST 根据元数据文档中的重定向 URI 验证授权请求中呈现的重定向 URI
• MUST 验证文档结构是有效 JSON 且包含必需字段
• SHOULD 遵循 Section 6 of Client ID Metadata Document 和 Client ID Metadata Document Security 中的安全注意事项

​

Example Metadata Document

{
  "client_id": "https://app.example.com/oauth/client-metadata.json",
  "client_name": "Example MCP Client",
  "client_uri": "https://app.example.com",
  "logo_uri": "https://app.example.com/logo.png",
  "redirect_uris": [
    "http://127.0.0.1:3000/callback",
    "http://localhost:3000/callback"
  ],
  "grant_types": ["authorization_code"],
  "response_types": ["code"],
  "token_endpoint_auth_method": "none"
}

​

Client ID Metadata Documents Flow

​

Advertising CIMD Support

{
  "client_id_metadata_document_supported": true
}

​

Pre-registration

1. 专门为 MCP 客户端与该授权服务器交互而硬编码客户端 ID（以及适用时的客户端凭据）；或者
2. 在用户自行注册 OAuth 客户端后（例如通过服务器托管的配置界面），向用户呈现 UI，允许他们输入这些详细信息。

​

Dynamic Client Registration

​

Application Type and Redirect URI Constraints

• 原生应用（桌面应用、移动应用、CLI 工具，以及通过 localhost 访问的本地托管 Web 应用）SHOULD 使用 application_type: "native"
• Web 应用（由非本地主机提供的远程浏览器应用）SHOULD 使用 application_type: "web"

​

Authorization Server Binding