oferty-spike-mcp

Спайк №1 проекта «Oferty Online»: сможет ли встроенный сервер OAuth 2.1 Supabase Auth (бета) сработаться с приложением Claude через Dynamic Client Registration.

Код одноразовый. Никаких тестов, никакой обработки ошибок, кроме того, что диагностирует сам спайк, никаких настоящих инструментов MCP. После выполнения остаётся только заметка с выводами.

Что здесь

Используем SDK v2 (@modelcontextprotocol/server + @modelcontextprotocol/node). @modelcontextprotocol/sdk — это устаревшая v1 — большинство туториалов в сети описывают именно её.

Related MCP server: Remote MCP Server on Cloudflare

Переменные окружения

Смотри .env.example. Все четыре обязательны, процесс не запустится без них.

Локальный запуск

npm ci
APP_ORIGIN=http://localhost:3000 SUPABASE_URL=https://twoj.supabase.co \
  SUPABASE_ANON_KEY=... SPIKE_STATIC_TOKEN=... npm start

Эндпоинты

• POST /mcp — Streamable HTTP, без состояния

• GET /.well-known/oauth-protected-resource/mcp — RFC 9728

• GET /.well-known/oauth-authorization-server — метаданные Supabase, переданные дословно

• GET /oauth/consent?authorization_id=… — страница согласия

• GET /healthz — жизнеспособность процесса, намеренно не пингует Supabase

Диагностика

Без токена POST /mcp отвечает 401 с заголовком WWW-Authenticate, указывающим на Protected Resource Metadata — по этому ты поймёшь, что ленивая аутентификация работает.

При подозрении на проблему с реконнектом коннектора (самая подозрительная точка спайка) пригодятся supabase.auth.oauth.listGrants() и revokeGrant({ clientId }) — они позволяют увидеть и удалить сохранённое согласие, не трогая базу вручную.