Полный защищённый сценарий

L29 · MCP 2026-07-28 · открытая бета · редакция 2026.10-beta1

Теперь я соединяю авторизацию, ввод человека и MRTR в один сценарий. Важно не только получить зелёный ответ, но и сохранить границы: токен предназначен нашему ресурсу, сервер проверяет права, человек понимает действие.

Предварительно: L20 · L21 · L27 · L28

Как я это использую

Начните с discovery ресурса и AS, затем выполните code flow с S256, resource и проверкой issuer. Для create_task нужны согласованные права чтения и записи в этой учебной модели. Если сервер запросил ввод, верните requestState неизменным, сопоставьте inputResponses и повторите запрос с новым id. Credentials внешнего трекера остаются отдельными.

Разбираем конкретный контракт

Это учебный fixture: поля с доменом .example и идентификаторы вымышлены. Если показан фрагмент, его нужно поместить в соответствующий envelope выбранного профиля.

{
  "audience": "https://tasks.example/mcp",
  "issuer": "https://auth.example",
  "scopes": [
    "tasks:read",
    "tasks:write"
  ],
  "forward_mcp_token": false,
  "request_state": "return unchanged",
  "retry_id": "new-request-id"
}

Что легко сломать

Проверяемая лаборатория выдаёт персональный синтетический контекст. Найдите неверный audience, восстановите нужные scopes и отключите token passthrough. Это проверка принятого решения, а не настоящий OAuth провайдер: сайт не принимает ваши реальные токены.

Практика и самопроверка

Разделить токен MCP и сторонний grant, проверить отзыв и границы пользователей. Сервер проверяет решение на новых синтетических данных.

Я советую сначала предсказать результат, затем изменить один параметр в лаборатории и объяснить разницу. Сохраните небольшой fixture с нормальным и ошибочным случаем для своего проекта. На этом уроке практический результат проверяется сервером: войдите в аккаунт, начните попытку и выполните условия. Без неё урок не завершится.

В конце страницы — три вопроса. После правильных ответов можно завершить урок; ошибка в следующей тренировке не стирает уже полученное подтверждение этой редакции теста.

На что я опирался

• authorization: первичный источник
• auth-security: первичный источник
• elicitation: первичный источник

Профиль и ссылки проверены 15 октября 2026. Core, deprecated compatibility и extensions в этом курсе помечены отдельно. Примеры объясняют выбранные сценарии; для реализации сверяйте нормативные MUST/SHOULD и schema соответствующей версии.