oferty-spike-mcp

Spike #1 del proyecto „Oferty Online": ¿el servidor OAuth 2.1 integrado de Supabase Auth (beta) se entiende con la aplicación Claude mediante Dynamic Client Registration?

El código está para tirar. Cero pruebas, cero manejo de errores aparte de lo que diagnostica el propio spike, cero herramientas MCP reales. Al final solo queda una nota con conclusiones.

Qué hay aquí

Usamos SDK v2 (@modelcontextprotocol/server + @modelcontextprotocol/node). @modelcontextprotocol/sdk es la legacy v1 — la mayoría de los tutoriales en la red describen esa.

Related MCP server: Remote MCP Server on Cloudflare

Variables de entorno

Ver .env.example. Las cuatro son obligatorias, el proceso no arranca sin ellas.

Ejecución local

npm ci
APP_ORIGIN=http://localhost:3000 SUPABASE_URL=https://twoj.supabase.co \
  SUPABASE_ANON_KEY=... SPIKE_STATIC_TOKEN=... npm start

Endpoints

• POST /mcp — Streamable HTTP, stateless

• GET /.well-known/oauth-protected-resource/mcp — RFC 9728

• GET /.well-known/oauth-authorization-server — metadatos de Supabase, pasados literalmente

• GET /oauth/consent?authorization_id=… — página de consentimiento

• GET /healthz — vitalidad del proceso, a propósito no hace ping a Supabase

Diagnóstico

Sin token, POST /mcp responde 401 con la cabecera WWW-Authenticate que apunta a Protected Resource Metadata — así sabrás que lazy authentication funciona.

Ante la sospecha de un problema con la reconexión del conector (el punto más sospechoso del spike) son útiles supabase.auth.oauth.listGrants() y revokeGrant({ clientId }) — permiten ver y borrar el consentimiento guardado sin tocar la base de datos manualmente.