MCP 服务器鉴权避坑：别在握手阶段拦截未认证请求

kumard3 · reddit · 2026-08-16

作者分享了一次 MCP 服务器实现的教训：最初将 API Key 鉴权放在 initialize 握手阶段，导致未认证的探针或扫描器收到 401 错误，误判为连接失败。正确的做法是将发现阶段（Discovery，如 initialize 和 tools/list）对所有人开放，允许 Agent 在无需 Key 的情况下查看工具集；仅在实际执行工具操作时才要求鉴权。这样可以保证服务器的可用性评分不被误判拉低。