MCP 身份验证

/mcp 端点要求在 Authorization 标头中提供 Bearer 令牌。MCP 客户端会通过 OAuth 2.1 PKCE 流程自动获取令牌，您无需创建、粘贴或轮换任何 API 密钥。您也可以手动提供令牌用于测试。

OAuth 2.1 PKCE 流程

Flowstep 在 https://api.flowstep.ai 上运行自己的 OAuth 2.1 授权服务器。MCP 客户端会自动发现并完成该流程：它们会打开一个浏览器窗口，供您登录并批准访问，然后在后台完成令牌交换。客户端可以动态注册自己，因此您无需事先设置客户端 ID。

支持的登录方式

位于 /oauth/authorize 的授权页面支持以下方式：

Email/password：任何已设置密码的 Flowstep 账户
Google SSO：通过 Supabase 社交身份验证进行重定向，完成后自动返回客户端

审核并批准访问

登录后，Flowstep 会在颁发令牌之前显示授权页面。未经您明确批准，任何客户端都无法完成连接。该页面标题为 Authorize access，会显示正在请求访问的客户端名称（名称以粗体显示），后面是 “is requesting access to your Flowstep account”（正在请求访问您的 Flowstep 账户）。随后会显示 You’ll be redirected to 及其目标主机。选择 Allow 完成连接，或选择 Deny 取消。拒绝后，客户端会收到 access_denied 错误，且不会颁发任何令牌。

客户端名称由注册该客户端的人设置，因此请将其视为一个标签，而不是身份证明。在点击 Allow 之前，请检查 You’ll be redirected to 下方的主机是否是您所连接的客户端应有的主机。

claude.ai 连接器用户的账户创建

OAuth 登录页面不包含注册表单。如果您通过 Claude 的连接器目录添加 Flowstep 连接器，但还没有 Flowstep 账户，请先在 app.flowstep.ai 创建账户，然后返回 Claude 完成连接。如果请求中没有 Authorization 标头，中间件会回退到基于 Cookie 的 Supabase 会话。当您在浏览器中已登录 Flowstep 并直接访问 /mcp 时，此方式可以生效。MCP 客户端始终使用 Bearer 路径。

手动令牌（测试）

如需在不经过客户端 OAuth 流程的情况下直接调用该端点：

在浏览器中登录 app.flowstep.ai
打开 DevTools → Console，运行以下代码：

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

将令牌作为标头传递：

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

MCP 会话的有效期为 30 天。服务器会透明地刷新底层令牌，因此使用 OAuth 流程的客户端在正常使用期间无需重新进行身份验证。像上面这样手动提取的令牌大约一小时后就会过期，仅适用于快速测试。

快速开始

使用 Flowstep

团队与组织

导出与集成

MCP 服务器

计费与套餐

安全与隐私

OAuth 2.1 PKCE 流程

支持的登录方式

审核并批准访问

claude.ai 连接器用户的账户创建

手动令牌（测试）

​OAuth 2.1 PKCE 流程

​支持的登录方式

​审核并批准访问

​claude.ai 连接器用户的账户创建

​Cookie 回退

​手动令牌（测试）

OAuth 2.1 PKCE 流程

支持的登录方式

审核并批准访问

claude.ai 连接器用户的账户创建

Cookie 回退

手动令牌（测试）