Stream Vessel 让用户自选 MCP 回调地址

Stream Vessel 作者 Alexander Loginov 提出调整 MCP OAuth 流程：把 redirect URI 校验从注册阶段推迟到用户登录后的 authorize 阶段，让每个用户为自己的账号信任最多 10 个精确匹配的 https 回调地址，同时保留运营方白名单和 loopback。 这些地址列在 MCP 页面上，只有用户本人的浏览器会话能修改；用户必须手动输入主机名后“信任并继续”按钮才可用，Loginov 称这样仅靠钓鱼邮件里的一次点击不足以完成授权。 Loginov 还称，最初曾把用户信任地址的权限限制为写访问，使被钓鱼的授权只能改数据、不能删除，后来取消了这一限制，因为用户连接自己的 agent 时需要完整权限，该限制只是后备而非主要防线。

AI 根据报道生成 · 11 天前更新