2026 年 7 月 28 日，Model Context Protocol（MCP）项目发布了规范的 2026-07-28 修订版，并推出了更新后的软件开发工具包。[1, 2]MCP 是一种开放协议，用于把基于大语言模型的应用连接到外部数据源和工具。这些应用中的客户端与提供上下文和能力的服务器之间交换 JSON-RPC 2.0 消息。[3]
变更日志将取消协议层会话列为一项重大变更。初始化握手和 Mcp-Session-Id 头字段均已移除。每个请求现在都在元数据中携带协议版本和客户端能力。客户端应在每个请求中表明身份，服务器也应在每个结果中表明身份。[1]维护者表示，现在负载均衡器后面的任何服务器实例都能处理任何请求。他们还表示，需要跨调用保持状态的服务器，应以工具参数的形式传递显式句柄。[2]
通过 Streamable HTTP 传输发送的请求还必须在 Mcp-Method 和 Mcp-Name 头字段中写明方法和工具名称。维护者称，这样网关无需解析消息体就能路由和授权请求。[1, 2]
此次修订还收紧了 OAuth 授权。授权服务器应提供 RFC 9207 定义的签发方（iss）参数。如果存在 iss 参数，客户端在兑换授权码之前必须将其与自己记录的签发方比对。维护者表示，这堵上了一个授权服务器混淆（mix-up）漏洞。[1, 2]客户端必须按签发方分别存储凭证，不得在其他授权服务器上重复使用。授权服务器变更时，客户端还必须重新注册。使用动态客户端注册（Dynamic Client Registration）的客户端必须指定 application_type，以避免 OpenID Connect 重定向 URI 冲突。动态客户端注册本身现已弃用，由 OAuth 互联网草案 Client ID Metadata Documents 取而代之。为了向后兼容，它仍可使用。[1, 4]授权页面指出，预计未来的修订版会要求授权服务器必须提供 iss 参数。[4]
来源
核查或更正本页
- 更正
- 提交更正请求 · 在 GitHub 编辑源文件 · 更正政策
