MCP 服务器 OAuth 白名单踩坑:曾误拒 Grok Bot 的自定义协议

mbuckbee · reddit · 2026-11-08

HutchDB(托管 MCP 服务器,用 OAuth 2.1 动态客户端注册)作者分享其 redirect URI 白名单策略:接受任意 https、仅回环地址的 http、带点的反向 DNS 自定义协议,以及逐个登记的无点协议(cursor:、vscode:、windsurf:、warp:、raycast:、claude:、grokbot: 等)。他们最近发现自己一直在误拒 Grok Bot 的 grokbot://,因此公开完整清单征集遗漏。

关键安全考量:无点协议清单必须封闭——开放清单会让客户端注册后让用户点击 Approve 时唤起任意 OS handler(如 search-ms:、tel:)。同时拒绝含分号的 URI 及 javascript:、data:、file: 等危险协议。