MCP Autentifikatsiyasi

/mcp tutuqi Supabase access_token talab qiladi, u Bearer sifatida o’tkaziladi. Ko’p MCP mijozlari buni avtomatik ravishda OAuth 2.1 PKCE oqimi orqali oladi. Shuningdek, sinov uchun tokenni qo’lda taqdim etishingiz mumkin.

OAuth 2.1 PKCE oqimi

Flowstep https://api.flowstep.ai da to’liq OAuth 2.1 avtorizatsiya serverini implements qiladi. MCP mijozlari uni standart RFC metama’lumot tutuqlari orqali kashf qiladi.

Kashfiyot zanjiri

Client                       Flowstep API
  │
  ├─ 1. POST /mcp (no token) ──────────────────────────► 401
  │        WWW-Authenticate: Bearer resource_metadata=
  │        "https://api.flowstep.ai/.well-known/oauth-protected-resource"
  │
  ├─ 2. GET /.well-known/oauth-protected-resource ──────► { authorization_servers: ["https://api.flowstep.ai"] }
  │
  ├─ 3. GET /.well-known/oauth-authorization-server ────► { authorization_endpoint, token_endpoint, ... }
  │
  ├─ 4. Client generates PKCE pair (code_verifier + code_challenge S256)
  │     Opens browser → https://api.flowstep.ai/oauth/authorize
  │     User logs in (email/password or Google SSO)
  │
  ├─ 5. Server redirects → http://127.0.0.1:<port>?code=AUTH_CODE
  │     (client's temporary local HTTP server captures this)
  │
  ├─ 6. Client sends code + code_verifier → POST /oauth/token
  │     ◄──────────────────────────────────────── { access_token, refresh_token }
  │
  └─ 7. Client sends Authorization: Bearer <access_token> on all /mcp requests

OAuth tutuqlari

Usul	Tutqi	Maqsad
`GET`	`/.well-known/oauth-protected-resource`	RFC 9728 resurs meta’lumlari
`GET`	`/.well-known/oauth-authorization-server`	RFC 8414 server meta’lumlari
`POST`	`/oauth/register`	RFC 7591 dinamik klient registratsiyasi
`GET`	`/oauth/authorize`	Kirish shaklini ko’rsating
`POST`	`/oauth/authorize`	Email/parol kirish jarayonini davom ettiring
`GET/POST`	`/oauth/social-callback`	Google SSO qayta chaqiruvi
`POST`	`/oauth/token`	Kod almashuvi va token yangilash

Qo’llab-quvatlanadigan kirish usullari

/oauth/authorize da avtorizatsiya sahifasi quyidagilarni qo’llab-quvvatlaydi:

Email/parol — parol o’rnatilgan har qanday Flowstep hisob
Google SSO — Supabase ijtimoiy autentifikatsiyasi orqali yo’naltiriladi, avtomatik ravishda mijozga qaytaradi

claude.ai konnektori foydalanuvchilari uchun hisob yaratish

OAuth kirish sahifasida ro’yxatdan o’tish shakli yo’q. Agar claude.ai ning maxsus konnektori orqali ulanayotgan bo’lsangiz va Flowstep hisobingiz bo’lmasa, avval app.flowstep.ai da yarating, keyin konnektorn sozlashga qaytib autentifikatsiya qiling.

Token mexanizmi

Xususiyat	Qiymat
Token turi	Supabase JWT (Bearer)
Access token amal qilish muddati	~1 soat (server tomonidan shaffof ravishda yangilandi)
MCP sessiya umri	30 kun
Token yangilash	Server tomonidan boshqariladi — server asosiy sessiyani shaffof ravishda yangilaydi; MCP mijozlari yangilashni o’zlari boshqaramaydi
Auth kodi TTL	5 minut (bir martalik)
Kutayotgan ijtimoiy auth TTL	10 minut
Qamrovlar (Scopes)	`openid`, `offline_access`

Tokenlar har bir so’rov orqali supabase.auth.getUser(token) orqali tekshiriladi. Muddati o’tgan yoki noto’g’ri token 401 va WWW-Authenticate sarlavha qaytaradi, bu mijozning qayta autentifikatsiya oqimini qo’zg’ati. Agar Authorization sarlavha bo’lmasa, middleware Supabase cookie-asosli sessiyasiga qaytadi. Bu Flowstep faol sessiyasi bilan brauzerdan to’g’ridan-to’g’ri /mcp ga kirish vaqtida ishlaydi. MCP mijozlari har doim Bearer yo’lini ishlatadi.

Qo’lda token (sinov)

Klient OAuth oqimasiz tutuqni to’g’ridan-to’g’ri chaqirish uchun:

Brauzerda app.flowstep.ai ga kiring
DevTools → Console oching, ishga tushuring:

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

Tokenni sarlavha sifatida o’tkazing:

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

MCP sessiyalari 30 kuncha davom etadi — server asosiy tokenni shaffof ravishda yangilaydi, shuning uchun OAuth oqimidan foydalanadigan mijozlar odatiy foydalanish paytida qayta autentifikatsiya qilishlari shart emas. Yuqoridagi kabi qo’lda chiqarilgan token hali ham taxminan bir soatdan keyin amal qilmaydi; u faqat tez sinov uchun.

​OAuth 2.1 PKCE oqimi

​Kashfiyot zanjiri

​OAuth tutuqlari

​Qo’llab-quvatlanadigan kirish usullari

​claude.ai konnektori foydalanuvchilari uchun hisob yaratish

​Token mexanizmi

​Cookie qo’llanilishining muqobil usuli

​Qo’lda token (sinov)

OAuth 2.1 PKCE oqimi

Kashfiyot zanjiri

OAuth tutuqlari

Qo’llab-quvatlanadigan kirish usullari

claude.ai konnektori foydalanuvchilari uchun hisob yaratish

Token mexanizmi

Cookie qo’llanilishining muqobil usuli

Qo’lda token (sinov)