MCP 身份驗證

/mcp 端點需要作為 Bearer 令牌傳遞的 Supabase access_token。大多數 MCP 客戶端透過 OAuth 2.1 PKCE 流程自動取得此令牌。你也可以手動提供令牌以進行測試。

OAuth 2.1 PKCE 流程

Flowstep 在 https://api.flowstep.ai 實作完整的 OAuth 2.1 授權伺服器。MCP 客戶端會自動探索並完成流程：他們為你開啟瀏覽器視窗進行登入，然後在幕後處理令牌交換。

支援的登入方法

/oauth/authorize 上的授權頁面支援：

Email/password（電子郵件/密碼） — 任何已設定密碼的 Flowstep 帳戶
Google SSO — 透過 Supabase 社交身份驗證重新導向，自動返回客戶端

claude.ai 連接器使用者的帳戶建立

OAuth 登入頁面不包括註冊表單。如果你透過 claude.ai 的自訂連接器進行連接且還沒有 Flowstep 帳戶，請先在 app.flowstep.ai 建立帳戶，然後返回連接器設定進行身份驗證。如果沒有 Authorization 標頭，中介軟體會回退到基於 Cookie 的 Supabase 工作階段。這在使用有效 Flowstep 工作階段從瀏覽器直接存取 /mcp 時有效。MCP 客戶端始終使用 Bearer 路徑。

手動令牌（測試）

要在不使用客戶端 OAuth 流程的情況下直接呼叫端點：

在瀏覽器中登入 app.flowstep.ai
開啟 DevTools → Console，執行：

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

將令牌作為標頭傳遞：

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

MCP 工作階段持續 30 天 — 伺服器以透明方式重新整理基礎令牌，因此使用 OAuth 流程的客戶端在正常使用期間不需要重新身份驗證。像上面這樣手動提取的令牌仍在約一小時後到期；它僅供快速測試使用。

快速開始

使用 Flowstep

團隊與組織

匯出與整合

MCP 伺服器

計費與方案

安全與隱私

OAuth 2.1 PKCE 流程

支援的登入方法

claude.ai 連接器使用者的帳戶建立

手動令牌（測試）

​OAuth 2.1 PKCE 流程

​支援的登入方法

​claude.ai 連接器使用者的帳戶建立

​Cookie 備用

​手動令牌（測試）

OAuth 2.1 PKCE 流程

支援的登入方法

claude.ai 連接器使用者的帳戶建立

Cookie 備用

手動令牌（測試）