XenMCP 推出符合 MCP 规范的托管远程 OAuth,每服务器独立子域+gVisor 沙箱

esso_dev · reddit · 2026-11-10

开发者发布 XenMCP 免费测试版,为远程 MCP 服务器补上规范的每用户 OAuth 认证:针对 stdio 服务器无法被 claude.ai/ChatGPT 远程调用、静态 API key 写进 URL 泄漏到日志且全团队共用无法按人吊销的痛点。

核心设计

每个服务器独立来源 https://<name>.xenmcp.com/mcp(Streamable HTTP)。
认证完整走 MCP 授权规范:401 → RFC 9728 受保护资源元数据 → RFC 8414 AS 元数据 → RFC 7591 动态客户端注册 → 授权码 + PKCE S256;token 经 RFC 8707 resource 参数绑定到单一服务器,按人登录、按人吊销,上游密钥不离开服务方。
目录服务器(官方 MongoDB、mcp-grafana、DBHub 等)运行在每人独立的 gVisor 沙箱中;另提供 Redis、Elasticsearch、Docker、WordPress、Shopify 等自研只读服务器。
只持 API key 的远程 MCP 服务器也可套上同一 OAuth 层。

安全隔离:凭据 AES-256-GCM 加密、默认只读工具、单一固定出口 IP、日志只记工具名/耗时/状态不记参数,托管在德国。已在 Claude 全端、Claude Code、ChatGPT 上测试,征集认证流程破坏与安全漏洞反馈。

「编程与Agent」频道最新