MCP OAuth Debug

Quando o login OAuth do MCP não devolve token nem URL.

Como começar

1. Chame uma tool que exige contaProcure HTTP/1.1 401 com WWW-Authenticate e resource_metadata=... Se vier 200, a tool é pública: escolha outra (perfil, biblioteca, créditos, pedidos).curl -sS -i -m 20 -X POST "$MCP_URL" \ -H "Accept: application/json, text/event-stream" \ -d '{"jsonrpc":"2.0","id":1,"method":"tools/call","params":{"name":"<tool_com_conta>","arguments":{}}}' | head -30
2. Veja para qual servidor de autorização o metadata apontaProcure authorization_servers[] e scopes_supported[] no protected-resource.curl -sS -m 20 "$MCP_URL_ORIGIN/.well-known/oauth-protected-resource"
3. Confirme o registro dinâmico de clienteCom registration_endpoint o fluxo inteiro é automático — não é preciso registrar cliente à mão, por mais que a mensagem de erro do cliente sugira o contrário.curl -sS -m 20 "$AUTH_SERVER/.well-known/oauth-authorization-server"
4. Confirme que o token chegou no discoSó o .client.json (resultado do registro) significa que o OAuth NÃO terminou. Registro sozinho não é autenticação.ls -la "$TOKEN_DIR" # ex: ~/.config/<cliente>/mcp-tokens/, ~/.mcp/tokens/

Quando você vai usar

• O cliente diz "connected" e nunca pede loginO server conecta, tools/list funciona, e toda ferramenta de conta devolve 401 pra sempre. A skill força o challenge que o cliente não viu.
• 401 em todas as chamadasAntes de acusar o provedor: quatro comandos, em ordem, separam infra, cliente e servidor e dizem qual dos três está devolvendo 401.
• Qual servidor de autorização?Lê o metadata do recurso protegido e mostra pra onde o server aponta (authorization_servers, scopes_supported) — sem adivinhação.
• Preciso registrar client na mão?Se o server anuncia registration_endpoint, você cria client_id na hora (public client + PKCE S256) em vez de esperar cadastro manual.
• Token venceu e o refresh não vemChecklist de redirect_uri, PKCE e resource indicators mostra em que ponto do fluxo ele morreu.

O que vem no pacote

• scripts/force-oauth-challenge.py — implementação de referência do fix: força o WWW-Authenticate e o fluxo de autorização
• references/checklist.md — checklist de uma página com o valor esperado em cada passo do diagnóstico

Precisa de

• Python 3.10+ (só stdlib)
• acesso ao origin do servidor MCP
• os /.well-known/* que o próprio server anuncia

Onde ela não entra: Serve para servidor MCP com OAuth — ferramenta pública devolve 200 e a skill manda escolher outra. Não compra nem paga nada: se o server pedir pagamento, ela para e devolve a decisão pro dono.

← todas as skills