Hacker News Front Page · Alexander Loginov ·
MCP OAuth: let users trust their own redirect URIs safely
Stream Vessel propone mantener una lista global de URI de redirección permitidas y permitir que cada usuario añada hasta diez direcciones HTTPS exactas para su propia cuenta. La autorización se comprueba cuando el usuario ya inició sesión, y tanto los códigos como los errores solo se redirigen a direcciones confiables; la propuesta añade confirmación escrita del host, avisos por correo, revocación al eliminar una dirección y validaciones para evitar discrepancias al interpretar hosts. El diseño reduce el riesgo de phishing y de redirecciones abiertas sin impedir que los usuarios conecten sus propios agentes, aunque no evita la ingeniería social dirigida a quien decida confiar en una dirección maliciosa.
Why MCP servers either refuse custom clients or open a phishing hole, and how per-user trusted redirect URIs, decided at sign-in, give you both.