开源 cimd-proxy：让 MCP 客户端凭 URL 直连任意 OIDC 提供商
DerMozart · reddit · 2026-09-09
作者在构建 MCP SaaS 时踩遍各家 OAuth/CIMD 实现的坑，开源了 Apache-2.0 协议的 cimd-proxy。要点：
- Claude 仅在发现文档同时声明 clientidmetadatadocumentsupported 和 tokenendpointauthmethodssupported 含 "none" 时才启用 CIMD，缺一即静默回退动态注册；
- ChatGPT 在客户端元数据文档里塞入草案不允许的字段，严格解析器会拒收；
- Mistral 每次连接都注册新客户端，且根路径 resource URI 带尾斜杠需精确归一化；
- Grok 先请求路径插入式的受保护资源元数据地址，多数服务返回 404；
- Keycloak 的 CIMD 支持仍是实验性 feature flag，且未实现 MCP 规范强制要求的 RFC 8707 resource indicators，audience token 无法正确签发。
cimd-proxy 对客户端呈现 OAuth 2.1 授权服务器，接受 CIMD 或 RFC 7591 动态注册，把真实认证联邦到已有 provider；无需改 realm 配置。设计亮点：完全不读 token——上游 token 响应原样转发，仅将 refreshtoken 换成携带上游 token 与资源标识的密封信封，无服务端会话状态，并对元数据文档主机做白名单防 SSRF。
「编程与Agent」频道最新
- Greg Kamradt 检查 gamedevbench 任务：平均需改 4.7 个文件 114 行代码 — GregKamradt · 2026-09-10
- Claude 打通关宝可梦火红后,有人用 Radical Red 做了更难基准 — simonguozirui · 2026-09-10
- 一条 Prompt 全自动跑通:用 GPT Image 涂鸦功能在 Codex 里设计整套品牌 — venturetwins · 2026-09-10
- Fireship 实测：用 Astra 和 Fable 5.1 各做一款游戏，只有一款好玩 — Fireship · 2026-09-10
- 三个创始人加 AI agents 干出一家公司：无部门、零交接的分工法 — AmosBarJoseph · 2026-09-10
- AI 编码工具定价越来越怪：标价 10 美元与 40 美元月费可能差不多 — Informal-Dust4499 · 2026-09-10