一句话看懂：Stream Vessel 于 2026 年 11 月 4 日发文指出，MCP 服务端对 OAuth 回调地址（redirect URI）的管控陷入两难：只放行白名单会让自建 Agent 无法接入，而放开任意地址又会形成一键钓鱼链条，2026 年 1 月 Square MCP 服务器就曾因此暴露商户银行信息。
事件核心：发生了什么
MCP 客户端通过标准 OAuth 流程注册并获取令牌，但注册时声明的 redirect URI 若不在服务端操作者维护的白名单内，就会收到 invalid_redirect_uri。Atlassian、GitHub 都曾要求客户端使用预注册的 OAuth App，Cursor 用户也在社区反馈过类似报错。另一侧，2026 年 5 月一项针对 119 个支持 OAuth 的 MCP 服务器的测试显示，其中 114 个（95.8%）的注册端点接受匿名请求者提交的任意 redirect URI。攻击者据此可注册名为“Claude”的假客户端，把授权码引到自己的域名，再换取令牌。Obsidian Security 在 2026 年 1 月报告 Square MCP 服务器存在该链路，Square 的修复只覆盖新注册客户端。文章还提醒，接受任意地址的服务器本身会成为自身域名下的开放重定向器。
为什么重要
MCP 规范要求授权服务器精确校验 redirect URI、只自动跳转到可信地址，但“可信”由各服务端自行定义。规范层面，2026-07-28 的客户端注册页面已把动态客户端注册（DCR）标记为弃用，转向以 HTTPS 元数据文档标识客户端身份的 CIMD 机制。目前公开信息显示，这一转变尚未消除白名单与开放注册之间的张力，而 MCP 正被大量 Agent 用于访问 S3 等真实数据，授权环节的缺口直接关系存储安全。
对用户/开发者/创作者的影响
对开发者而言，自建 Slack bot、VPS 服务或周末写的 MCP 客户端，接入第三方 MCP 服务器时可能仍需请求对方改配置；把个人访问令牌（PAT）当兜底方案则削弱了 OAuth 的细粒度授权。对普通用户，看到真实域名、真实授权页的“重新连接存储”链接时，无法仅凭界面判断回调地址是否可信。对安全团队，需要把 MCP 注册端点纳入开放重定向与钓鱼链路的检查范围，并注意旧客户端可能不在修复覆盖内。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
一是 CIMD 在主流 MCP 服务端和客户端中的落地进度；二是服务端是否提供用户可确认回调地址的交互，而非简单放行或拒绝；三是 Square 等已披露事件是否推动对存量客户端的回溯修复。
