مصادقة MCP

يتطلب نقطة النهاية /mcp رمز Bearer في ترويسة Authorization. تحصل عملاء MCP على الرمز تلقائيًا عبر تدفق OAuth 2.1 PKCE، ولا يوجد مفتاح API لإنشائه أو لصقه أو تدويره. يمكنك أيضًا تزويد رمز يدويًا لأغراض الاختبار.

تدفق OAuth 2.1 PKCE

تشغّل Flowstep خادم تفويض OAuth 2.1 خاصًا بها على https://api.flowstep.ai. تكتشف عملاء MCP هذا التدفق وتُكمله تلقائيًا: إذ تفتح نافذة متصفح لتسجيل دخولك والموافقة على الوصول، ثم تتولى تبادل الرموز في الخلفية. يمكن للعملاء التسجيل الذاتي ديناميكيًا، لذا لا تحتاج إلى إعداد معرّف عميل أولًا.

طرق تسجيل الدخول المدعومة

تدعم صفحة التفويض في /oauth/authorize ما يلي:

Email/password: أي حساب Flowstep له كلمة مرور
Google SSO: يُعيد التوجيه عبر مصادقة Supabase الاجتماعية، ثم يعود إلى العميل تلقائيًا

مراجعة الوصول والموافقة عليه

بعد تسجيل الدخول، تعرض Flowstep شاشة موافقة قبل إصدار أي رمز، فلا يمكن لأي عميل إكمال الربط دون موافقتك الصريحة. تحمل الشاشة عنوان Authorize access، وتذكر اسم العميل الذي يطلب الوصول، باسم العميل بخط عريض متبوعًا بعبارة “is requesting access to your Flowstep account” (تعني: يطلب الوصول إلى حسابك في Flowstep). ثم تعرض You’ll be redirected to والمضيف الوجهة. اختر Allow لإكمال الربط، أو Deny للإلغاء. يؤدي الرفض إلى إرجاع خطأ access_denied للعميل، ولا يُصدر أي رمز.

اسم العميل يحدده من سجّله، لذا تعامل معه على أنه تسمية وليس دليلًا على الهوية. قبل أن تنقر Allow، تحقق من أن المضيف المعروض تحت You’ll be redirected to هو المضيف الذي تتوقعه للعميل الذي تربطه.

إنشاء الحساب لمستخدمي موصّل claude.ai

لا تتضمن صفحة تسجيل الدخول في OAuth نموذج إنشاء حساب. إذا كنت تضيف موصّل Flowstep من دليل موصلات Claude ولا يوجد لديك حساب Flowstep بعد، فأنشئ حسابًا أولًا على app.flowstep.ai، ثم عُد إلى Claude لإكمال الربط.

الرجوع إلى ملف تعريف الارتباط

إذا لم تكن ترويسة Authorization موجودة، ينتقل الوسيط إلى جلسة Supabase المعتمدة على ملفات تعريف الارتباط. ويعمل هذا عند الوصول إلى /mcp مباشرة من متصفح به جلسة Flowstep نشطة. أما عملاء MCP فيستخدمون مسار Bearer دائمًا.

الرمز اليدوي (للاختبار)

لاستدعاء نقطة النهاية مباشرة دون تدفق OAuth للعميل:

سجّل الدخول إلى app.flowstep.ai في متصفحك
افتح DevTools ← Console، ثم نفّذ:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

مرّر الرمز كترويسة:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

تدوم جلسات MCP 30 يومًا، ويُجدِّد الخادم الرمز الأساسي بشفافية، لذا لا تحتاج العملاء التي تستخدم تدفق OAuth إلى إعادة المصادقة أثناء الاستخدام العادي. أما الرمز المستخرج يدويًا، مثل الرمز أعلاه، فتنتهي صلاحيته بعد ساعة تقريبًا، وهو مخصص للاختبار السريع فقط.

البدء

استخدام Flowstep

الفرق والمؤسسات

التصدير والتكاملات

خادم MCP

الفوترة والخطط

الأمان والخصوصية

تدفق OAuth 2.1 PKCE

طرق تسجيل الدخول المدعومة

مراجعة الوصول والموافقة عليه

إنشاء الحساب لمستخدمي موصّل claude.ai

الرجوع إلى ملف تعريف الارتباط

الرمز اليدوي (للاختبار)

​تدفق OAuth 2.1 PKCE

​طرق تسجيل الدخول المدعومة

​مراجعة الوصول والموافقة عليه

​إنشاء الحساب لمستخدمي موصّل claude.ai

​الرجوع إلى ملف تعريف الارتباط

​الرمز اليدوي (للاختبار)

تدفق OAuth 2.1 PKCE

طرق تسجيل الدخول المدعومة

مراجعة الوصول والموافقة عليه

إنشاء الحساب لمستخدمي موصّل claude.ai

الرجوع إلى ملف تعريف الارتباط

الرمز اليدوي (للاختبار)