مصادقة MCP

يتطلب نقطة نهاية /mcp رمز access_token من Supabase يتم تمريره كرمز Bearer. يحصل معظم عملاء MCP على هذا تلقائياً عبر تدفق OAuth 2.1 PKCE. يمكنك أيضاً توفير رمز يدوياً للاختبار.

تدفق OAuth 2.1 PKCE

ينفذ Flowstep خادم ترخيص OAuth 2.1 كامل على https://api.flowstep.ai. يكتشف عملاء MCP ويكملون التدفق تلقائياً: يفتحون نافذة متصفح لك لتسجيل الدخول والموافقة على الوصول، ثم يتعاملون مع تبادل الرمز خلف الكواليس.

طرق تسجيل الدخول المدعومة

صفحة التفويض على /oauth/authorize تدعم:

Email/password — أي حساب Flowstep مع مجموعة كلمات المرور
Google SSO — ينقل عبر مصادقة Supabase الاجتماعية، يعود إلى العميل تلقائياً

المراجعة والموافقة على الوصول

بعد تسجيل الدخول، يعرض Flowstep شاشة موافقة قبل إصدار رمز — لا يمكن لأي عميل إكمال الاتصال بدون موافقتك الصريحة. الشاشة بعنوان Authorize access وتسمي العميل الذي يطلب الوصول — اسم العميل بخط عريض، متبوعاً بـ “is requesting access to your Flowstep account” — ثم يعرض You’ll be redirected to والمضيف الوجهة. اختر Allow لإكمال الاتصال أو Deny للإلغاء. سيعيد الإنكار إلى العميل خطأ access_denied ولا يصدر أي رمز.

يتم تعيين اسم العميل من قبل من يسجل العميل، لذا تعامل معه كتسمية بدلاً من إثبات الهوية. قبل النقر على Allow، تحقق من أن المضيف تحت You’ll be redirected to هو ما تتوقعه للعميل الذي تتصل به.

إنشاء الحساب لمستخدمي موصل claude.ai

لا تتضمن صفحة تسجيل دخول OAuth نموذج التسجيل. إذا كنت تتصل عبر الموصل المخصص لـ claude.ai ولم يكن لديك حساب Flowstep حتى الآن، أنشئ واحداً أولاً على app.flowstep.ai، ثم عُد إلى إعداد الموصل للمصادقة.

بديل الكوكيز

إذا لم يكن هناك رأس Authorization، يعود البرنامج الوسيط إلى جلسة Supabase قائمة على الكوكيز. هذا يعمل عند الوصول مباشرة إلى /mcp من متصفح به جلسة Flowstep نشطة. عملاء MCP يستخدمون دائماً مسار Bearer.

رمز يدوي (الاختبار)

لاستدعاء نقطة النهاية مباشرة بدون تدفق OAuth للعميل:

سجّل الدخول إلى app.flowstep.ai في متصفحك
افتح DevTools → Console، شغّل:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

مرّر الرمز كرأس:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

تستمر جلسات MCP لمدة 30 يوماً — يحدّث الخادم الرمز الأساسي بشكل شفاف، لذا العملاء الذين يستخدمون تدفق OAuth لا يحتاجون إلى إعادة المصادقة أثناء الاستخدام الطبيعي. الرمز المستخرج يدوياً مثل الرمز أعلاه لا يزال ينتهي بعد حوالي ساعة واحدة؛ إنه للاختبار السريع فقط.

البدء

استخدام Flowstep

الفرق والمؤسسات

التصدير والتكاملات

خادم MCP

الفوترة والخطط

الأمان والخصوصية

تدفق OAuth 2.1 PKCE

طرق تسجيل الدخول المدعومة

المراجعة والموافقة على الوصول

إنشاء الحساب لمستخدمي موصل claude.ai

بديل الكوكيز

رمز يدوي (الاختبار)

​تدفق OAuth 2.1 PKCE

​طرق تسجيل الدخول المدعومة

​المراجعة والموافقة على الوصول

​إنشاء الحساب لمستخدمي موصل claude.ai

​بديل الكوكيز

​رمز يدوي (الاختبار)

تدفق OAuth 2.1 PKCE

طرق تسجيل الدخول المدعومة

المراجعة والموافقة على الوصول

إنشاء الحساب لمستخدمي موصل claude.ai

بديل الكوكيز

رمز يدوي (الاختبار)