oferty-spike-mcp

Spike #1 des Projekts „Oferty Online": Ob der eingebaute OAuth-2.1-Server von Supabase Auth (Beta) sich über Dynamic Client Registration mit der Claude-App verständigen kann.

Der Code ist Wegwerfcode. Keine Tests, keine Fehlerbehandlung außer dem, was der Spike selbst diagnostiziert, keine echten MCP-Tools. Nach der Ausführung bleibt nur eine Notiz mit den Erkenntnissen.

Was hier drin ist

Wir verwenden SDK v2 (@modelcontextprotocol/server + @modelcontextprotocol/node). @modelcontextprotocol/sdk ist Legacy v1 – die meisten Tutorials im Netz beschreiben genau diese.

Related MCP server: Remote MCP Server on Cloudflare

Umgebungsvariablen

Siehe .env.example. Alle vier sind erforderlich, der Prozess startet ohne sie nicht.

Lokale Ausführung

npm ci
APP_ORIGIN=http://localhost:3000 SUPABASE_URL=https://twoj.supabase.co \
  SUPABASE_ANON_KEY=... SPIKE_STATIC_TOKEN=... npm start

Endpunkte

• POST /mcp — Streamable HTTP, zustandslos

• GET /.well-known/oauth-protected-resource/mcp — RFC 9728

• GET /.well-known/oauth-authorization-server — Supabase-Metadaten, wörtlich durchgereicht

• GET /oauth/consent?authorization_id=… — Zustimmungsseite

• GET /healthz — Lebensfähigkeit des Prozesses, pingt bewusst kein Supabase an

Diagnose

Ohne Token antwortet POST /mcp mit 401 und einem WWW-Authenticate-Header, der auf die Protected Resource Metadata verweist – daran erkennst du, dass Lazy Authentication funktioniert.

Bei Verdacht auf ein Problem mit dem Reconnect des Connectors (der verdächtigste Punkt des Spikes) sind supabase.auth.oauth.listGrants() und revokeGrant({ clientId }) nützlich – sie erlauben, die gespeicherte Zustimmung zu sehen und zu löschen, ohne die Datenbank manuell anzufassen.