DCR и совместимость OAuth

L33 · MCP 2026-07-28 · открытая бета · редакция 2026.10-beta1

Я сохраняю DCR в курсе потому, что старые MCP клиенты и AS действительно его используют. Но полезнее уметь отличить корректную совместимость от устаревшего требования «каждый сервер обязан иметь registration_endpoint».

Предварительно: L24 · L30

Как я это использую

Dynamic Client Registration создаёт регистрацию клиента через AS. В современном профиле DCR deprecated, а pre-registration и CIMD рассматриваются отдельно. При работе со старым AS ограничивайте выдачу регистраций, проверяйте redirect URI и не доверяйте любым metadata клиента. Регистрация не является согласием на доступ к данным.

Разбираем конкретный контракт

Это учебный fixture: поля с доменом .example и идентификаторы вымышлены. Если показан фрагмент, его нужно поместить в соответствующий envelope выбранного профиля.

{
  "legacyAS": {
    "registration_endpoint": "https://legacy-auth.example/register"
  },
  "modernAlternatives": [
    "pre-registration",
    "CIMD"
  ],
  "policy": "DCR only for explicit compatibility"
}

Что легко сломать

Автоматическая регистрация с произвольными redirect URI может превратить ваш AS в площадку злоупотреблений. Я документирую поддерживаемые профили, сроки удаления legacy и набор негативных тестов, прежде чем включить совместимость публично.

Практика и самопроверка

Сопоставить старую регистрацию и CIMD; исправить повторное использование client credentials между issuer.

Я советую сначала предсказать результат, затем изменить один параметр в лаборатории и объяснить разницу. Сохраните небольшой fixture с нормальным и ошибочным случаем для своего проекта. Тренажёр открыт без регистрации; для сохранения ответов на тесты и завершения урока войдите в аккаунт.

В конце страницы — три вопроса. После правильных ответов можно завершить урок; ошибка в следующей тренировке не стирает уже полученное подтверждение этой редакции теста.

На что я опирался

• deprecated: первичный источник
• auth-registration: первичный источник
• auth-security: первичный источник

Профиль и ссылки проверены 15 октября 2026. Core, deprecated compatibility и extensions в этом курсе помечены отдельно. Примеры объясняют выбранные сценарии; для реализации сверяйте нормативные MUST/SHOULD и schema соответствующей версии.