Scopes и step up

L27 · MCP 2026-07-28 · открытая бета · редакция 2026.10-beta1

Я запрашиваю минимальные права для текущего действия. Для просмотра задач хватит tasks:read; право записи имеет смысл просить, когда человек действительно создаёт задачу. Так согласие остаётся связано с понятной операцией.

Предварительно: L26

Как я это использую

Step-up расширяет разрешения по мере необходимости. Обрабатывайте insufficient_scope по правилам выбранного OAuth профиля и повторно подтверждайте действие после получения нужных прав. Scopes — строки из модели конкретного сервиса, а не универсальные MCP имена. Порядок scopes не определяет полномочия: сравнивайте множества и требуемое подмножество.

Разбираем конкретный контракт

Это учебный fixture: поля с доменом .example и идентификаторы вымышлены. Если показан фрагмент, его нужно поместить в соответствующий envelope выбранного профиля.

{
  "actions": {
    "list_tasks": [
      "tasks:read"
    ],
    "create_task": [
      "tasks:write"
    ]
  },
  "granted": [
    "tasks:read"
  ],
  "nextAction": "create_task"
}

Что легко сломать

Не запрашивайте admin при первом открытии приложения ради гипотетической будущей функции. И не считайте scope заменой проверки владельца taskId. В симуляторе добавляйте права по одному и смотрите, какие действия доступны.

Практика и самопроверка

Попробовать чтение и запись с разными scopes. Проверить корректный выход из повторяющегося запроса прав.

Я советую сначала предсказать результат, затем изменить один параметр в лаборатории и объяснить разницу. Сохраните небольшой fixture с нормальным и ошибочным случаем для своего проекта. Тренажёр открыт без регистрации; для сохранения ответов на тесты и завершения урока войдите в аккаунт.

В конце страницы — три вопроса. После правильных ответов можно завершить урок; ошибка в следующей тренировке не стирает уже полученное подтверждение этой редакции теста.

На что я опирался

• authorization: первичный источник

Профиль и ссылки проверены 15 октября 2026. Core, deprecated compatibility и extensions в этом курсе помечены отдельно. Примеры объясняют выбранные сценарии; для реализации сверяйте нормативные MUST/SHOULD и schema соответствующей версии.