从零实现PHP版MCP和OAuth2

elixon · reddit · 2026-07-20

作者从零用 PHP 实现了一个非流式 HTTP MCP server，并顺手自己写了 OAuth2，重点在于**最小化但尽量安全**的服务端设计。 - 这是一个从零实现的 MCP 服务，作者说整体并不算难，目前还处于 public alpha。 - OAuth2 也是自己写的，没有依赖现成库，当前在他自己的环境里运行正常。 - 他原本考虑加 **DCR（Dynamic Client Registration）**，但后来认为对开放式 MCP server 来说，DCR 并不能显著提升安全性，因为客户端类型和数量都不可控。 - 目前最纠结的是 **redirect_uri 白名单** 怎么做：现实里的客户端回调地址可能是 localhost、应用自身 ID 或各种平台专有 scheme，很难穷举。这条的价值在于 MCP + OAuth 的工程安全实践，而不是单纯“我做了个 demo”。