MCP 身份验证

/mcp 端点需要作为 Bearer 令牌传递的 Supabase access_token。大多数 MCP 客户端通过 OAuth 2.1 PKCE 流自动获取此令牌。您也可以手动提供令牌进行测试。

OAuth 2.1 PKCE 流

Flowstep 在 https://api.flowstep.ai 实现完整的 OAuth 2.1 授权服务器。MCP 客户端自动发现并完成流程：它们为您打开浏览器窗口以登录和批准访问，然后在幕后处理令牌交换。

支持的登录方法

/oauth/authorize 处的授权页面支持：

电子邮件/密码 — 任何设置了密码的 Flowstep 账户
Google SSO — 通过 Supabase 社交身份验证重定向，自动返回到客户端

审查并批准访问

登录后，Flowstep 在发布令牌之前显示同意屏幕 — 没有客户端可以在您明确批准之前完成连接。屏幕的标题为 Authorize access，并列出请求访问的客户端 — 客户端名称加粗，然后是”正在请求访问您的 Flowstep 账户” — 然后显示 You’ll be redirected to 和目的地主机。选择 Allow 完成连接，或选择 Deny 取消。拒绝会向客户端返回 access_denied 错误，并且不发布令牌。

客户端名称由注册该客户端的任何人设置，因此请将其视为标签而不是身份证明。在您点击 Allow 之前，检查 You’ll be redirected to 下的主机是您期望的客户端。

为 claude.ai 连接器用户创建账户

OAuth 登录页面不包含注册表单。如果您通过 claude.ai 的自定义连接器进行连接但还没有 Flowstep 账户，请先在 app.flowstep.ai 创建一个，然后返回连接器设置进行身份验证。如果没有 Authorization 头，中间件回退到基于 cookie 的 Supabase 会话。这在从具有活动 Flowstep 会话的浏览器直接访问 /mcp 时有效。MCP 客户端始终使用 Bearer 路径。

手动令牌（测试）

要在没有客户端 OAuth 流的情况下直接调用端点：

在您的浏览器中登录到 app.flowstep.ai
打开 DevTools → Console，运行：

const pairs = document.cookie.split("; ").map((c) => {
  const i = c.indexOf("=");
  return [c.slice(0, i), c.slice(i + 1)];
});
const authPairs = pairs
  .filter(([k]) => /^sb-.+-auth-token(\.\d+)?$/.test(k))
  .sort(([a], [b]) => a.localeCompare(b));
const raw = authPairs.map(([, v]) => decodeURIComponent(v)).join("");
const session = JSON.parse(
  raw.startsWith("base64-") ? atob(raw.slice(7)) : raw,
);
console.log(session.access_token);

将令牌作为标头传递：

curl -X POST https://api.flowstep.ai/mcp \
  -H "Authorization: Bearer <access_token>" \
  -H "Content-Type: application/json" \
  -H "Accept: application/json, text/event-stream" \
  -d '{"jsonrpc":"2.0","id":1,"method":"tools/list"}'

MCP 会话持续 30 天 — 服务器透明地刷新底层令牌，因此使用 OAuth 流的客户端在正常使用过程中不需要重新身份验证。像上面手动提取的令牌仍然在大约一小时后过期；它仅用于快速测试。

快速开始

使用 Flowstep

团队与组织

导出与集成

MCP 服务器

计费与套餐

安全与隐私

OAuth 2.1 PKCE 流

支持的登录方法

审查并批准访问

为 claude.ai 连接器用户创建账户

手动令牌（测试）

​OAuth 2.1 PKCE 流

​支持的登录方法

​审查并批准访问

​为 claude.ai 连接器用户创建账户

​Cookie 回退

​手动令牌（测试）

OAuth 2.1 PKCE 流

支持的登录方法

审查并批准访问

为 claude.ai 连接器用户创建账户

Cookie 回退

手动令牌（测试）