MCP-autentisering

Slutpunkten /mcp kräver en Supabase access_token som skickas som en Bearer-token. De flesta MCP-klienter hämtar detta automatiskt via OAuth 2.1 PKCE-flödet. Du kan också ange en token manuellt för testning.

OAuth 2.1 PKCE-flöde

Flowstep implementerar en fullständig OAuth 2.1-auktoriseringsserver på https://api.flowstep.ai. MCP-klienter upptäcker den via standardmetadataslutpunkter för RFC.

Identifieringskedja

Client                       Flowstep API
  │
  ├─ 1. POST /mcp (no token) ──────────────────────────► 401
  │        WWW-Authenticate: Bearer resource_metadata=
  │        "https://api.flowstep.ai/.well-known/oauth-protected-resource"
  │
  ├─ 2. GET /.well-known/oauth-protected-resource ──────► { authorization_servers: ["https://api.flowstep.ai"] }
  │
  ├─ 3. GET /.well-known/oauth-authorization-server ────► { authorization_endpoint, token_endpoint, ... }
  │
  ├─ 4. Client generates PKCE pair (code_verifier + code_challenge S256)
  │     Opens browser → https://api.flowstep.ai/oauth/authorize
  │     User logs in (email/password or Google SSO)
  │
  ├─ 5. Server redirects → http://127.0.0.1:<port>?code=AUTH_CODE
  │     (client's temporary local HTTP server captures this)
  │
  ├─ 6. Client sends code + code_verifier → POST /oauth/token
  │     ◄──────────────────────────────────────── { access_token, refresh_token }
  │
  └─ 7. Client sends Authorization: Bearer <access_token> on all /mcp requests

OAuth-slutpunkter

Method	Endpoint	Purpose
`GET`	`/.well-known/oauth-protected-resource`	RFC 9728 resursmetadata
`GET`	`/.well-known/oauth-authorization-server`	RFC 8414 servermetadata
`POST`	`/oauth/register`	RFC 7591 dynamisk klientregistrering
`GET`	`/oauth/authorize`	Visa inloggningsformulär
`POST`	`/oauth/authorize`	Bearbeta e-post/lösenordsinloggning
`GET/POST`	`/oauth/social-callback`	Google SSO-motanrop
`POST`	`/oauth/token`	Kodutbyte och tokenuppdatering

Loginmetoder som stöds

Auktoriseringssidan på /oauth/authorize stöder:

E-post/lösenord — vilket Flowstep-konto som helst med lösenord inställt
Google SSO — omdirigerar genom Supabase-socialauthentisering, återkommer till klienten automatiskt

Kontoskapande för claude.ai-anslutningsanvändare

OAuth-inloggningssidan innehåller inget anmälningsformulär. Om du ansluter via claude.ai:s anpassade anslutning och inte har ett Flowstep-konto ännu, skapar du ett först på app.flowstep.ai och återgår sedan till anslutningskonfigurationen för att autentisera.

Tokenmekanik

Property	Value
Tokentyp	Supabase JWT (Bearer)
Åtkomsttoken-utgång	~1 timme (uppdaterad transparent av servern)
MCP-sessionens livslängd	30 dagar
Tokenuppdatering	Hanterad på serversidan — servern uppdaterar den underliggande sessionen transparent; MCP-klienter hanterar inte uppdatering själva
Auth-kod TTL	5 minuter (engångsanvändning)
Väntande social auth TTL	10 minuter
Omfång	`openid`, `offline_access`

Tokens valideras vid varje begäran via supabase.auth.getUser(token). En utgången eller ogiltig token returnerar 401 med ett WWW-Authenticate-huvud, vilket utlöser klientens omautentiseringsflöde. Om inget Authorization-huvud finns närvarande, faller mellanvaran tillbaka till en cookie-baserad Supabase-session. Detta fungerar när du får åtkomst till /mcp direkt från en webbläsare med en aktiv Flowstep-session. MCP-klienter använder alltid Bearer-vägen.

Manuell token (testning)

För att anropa slutpunkten direkt utan ett klient-OAuth-flöde:

Logga in på app.flowstep.ai i din webbläsare
Öppna DevTools → Konsol, kör:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Skicka token som ett huvud:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

MCP-sessioner varar 30 dagar — servern uppdaterar den underliggande token transparent, så klienter som använder OAuth-flödet behöver inte omautentiseras vid normal användning. En manuellt extraherad token som den ovan utgår fortfarande efter cirka en timme; det är endast för snabb testning.

​OAuth 2.1 PKCE-flöde

​Identifieringskedja

​OAuth-slutpunkter

​Loginmetoder som stöds

​Kontoskapande för claude.ai-anslutningsanvändare

​Tokenmekanik

​Återgång till cookie

​Manuell token (testning)

OAuth 2.1 PKCE-flöde

Identifieringskedja

OAuth-slutpunkter

Loginmetoder som stöds

Kontoskapande för claude.ai-anslutningsanvändare

Tokenmekanik

Återgång till cookie

Manuell token (testning)