Uwierzytelnianie MCP

Punkt końcowy /mcp wymaga tokenu dostępu Supabase przekazanego jako token Bearer. Większość klientów MCP uzyskuje go automatycznie za pośrednictwem przepływu OAuth 2.1 PKCE. Możesz również dostarczyć token ręcznie do testowania.

Przepływ OAuth 2.1 PKCE

Flowstep implementuje pełny serwer autoryzacji OAuth 2.1 na https://api.flowstep.ai. Klienci MCP odkrywają go i uzupełniają przepływ automatycznie: otwierają okno przeglądarki, aby się zalogować, a następnie obsługują wymianę tokenów w tle.

Obsługiwane metody logowania

Strona autoryzacji w /oauth/authorize obsługuje:

Email/password — każde konto Flowstep z ustawionym hasłem
Google SSO — przekierowuje się przez Supabase social auth, automatycznie wraca do klienta

Tworzenie konta dla użytkowników łącznika claude.ai

Strona logowania OAuth nie zawiera formularza rejestracji. Jeśli łączysz się za pośrednictwem łącznika niestandardowego claude.ai i nie masz jeszcze konta Flowstep, utwórz je najpierw na app.flowstep.ai, a następnie wróć do konfiguracji łącznika, aby się uwierzytelnić.

Rezerwowa autoryzacja za pośrednictwem cookies

Jeśli nie ma nagłówka Authorization, middleware przechodzi na sesję Supabase opartą na cookies. Działa to podczas dostępu do /mcp bezpośrednio z przeglądarki z aktywną sesją Flowstep. Klienci MCP zawsze używają ścieżki Bearer.

Token ręczny (testowanie)

Aby wywołać punkt końcowy bezpośrednio bez przepływu OAuth klienta:

Zaloguj się do app.flowstep.ai w przeglądarce
Otwórz DevTools → Console i uruchom:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Przekaż token jako nagłówek:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

Sesje MCP trwają 30 dni — serwer odświeża bazowy token w sposób przezroczysty, więc klienci korzystający z przepływu OAuth nie muszą ponownie uwierzytelniać się podczas normalnego użytkowania. Token wyodrębniony ręcznie, jak powyżej, wciąż wygasa po około godzinie; jest tylko do szybkiego testowania.

Pierwsze kroki

Korzystanie z Flowstep

Zespoły i organizacje

Eksport i integracje

Serwer MCP

Rozliczenia i plany

Bezpieczeństwo i prywatność

Uwierzytelnianie MCP

Przepływ OAuth 2.1 PKCE

Obsługiwane metody logowania

Tworzenie konta dla użytkowników łącznika claude.ai

Rezerwowa autoryzacja za pośrednictwem cookies

Token ręczny (testowanie)

​Przepływ OAuth 2.1 PKCE

​Obsługiwane metody logowania

​Tworzenie konta dla użytkowników łącznika claude.ai

​Rezerwowa autoryzacja za pośrednictwem cookies

​Token ręczny (testowanie)

Przepływ OAuth 2.1 PKCE

Obsługiwane metody logowania

Tworzenie konta dla użytkowników łącznika claude.ai

Rezerwowa autoryzacja za pośrednictwem cookies

Token ręczny (testowanie)