Open Brain web gateway

OAuth-geschütztes Remote-MCP-Gateway für Tonys Gemini-Spark- und Perplexity-Webclients. Es leitet genehmigte Aufrufe an das bestehende Standard-Open-Brain weiter und erstellt nie ein weiteres Brain.

Grenzen

• Open Brain ist operatives Gedächtnis, keine Continuity, kein COTA, kein Current-State-Tracker und keine Autorität für Eigentümerakzeptanz.

• Keine automatische Chat-Erfassung. Erfassungstools sind nur für explizite Anforderungen gedacht.

• Das Standard-Open-Brain-Repository und die Edge Function bleiben unverändert.

• Browser-Clients erhalten kurzlebige OAuth-Tokens, niemals den langlebigen Open-Brain-Zugriffsschlüssel.

• OAuth-Tokens werden an diesem Gateway validiert und anschließend beendet; sie werden nicht an das vorgelagerte Open Brain weitergegeben.

Komponenten

• open-brain-web-gateway: OAuth-geschütztes Streamable-HTTP-MCP-Relay mit Client-/Benutzer-Allowlists, exakten und zusammenfassenden Aliasen sowie autoritativen Post-Write-Belegen.

• docs/: GitHub-Pages-E-Mail-Link-Anmeldung und OAuth-Consent-UI sowie Datenschutz- und Nutzungsbedingungen-Seiten.

• open-brain-oauth-ui: einsetzbare Quelle, die als Fallback für eine zukünftige benutzerdefinierte Supabase-Domain beibehalten wird; die Standard-Supabase-Functions-Domain schreibt HTML absichtlich in Klartext um.

Erforderliche Live-Konfiguration

1. Supabase-OAuth-2.1-Server aktiviert mit Autorisierungspfad /oauth/consent.

2. Auth-Site-URL: https://derivedbetter.github.io/open-brain-oauth-ui.

3. Autorisierungspfad: /oauth/consent/ und die Redirect-Allowlist enthält https://derivedbetter.github.io/open-brain-oauth-ui/**.

4. Zwei vorregistrierte vertrauliche Clients: Gemini Spark und Perplexity.

5. Edge-Secrets:

   • OPEN_BRAIN_ALLOWED_EMAILS=<approved-email>

   • OPEN_BRAIN_OAUTH_CLIENT_IDS=<gemini-client-id>,<perplexity-client-id>

   • optional OPEN_BRAIN_OAUTH_AUDIENCES=authenticated,<gateway-url>

   • vorhandener MCP_ACCESS_KEY bleibt serverseitig.

Die dynamische Client-Registrierung bleibt für die Pilotphase deaktiviert.

Validierung

npm test
npx -y supabase@latest functions deploy open-brain-oauth-ui --project-ref zoptbgumxukgpkgbtnpz --no-verify-jwt
npx -y supabase@latest functions deploy open-brain-web-gateway --project-ref zoptbgumxukgpkgbtnpz --no-verify-jwt

Testen Sie die Discovery und den nicht authentifizierten Fehler, bevor Sie einen Client verbinden:

• GET /functions/v1/open-brain-web-gateway/.well-known/oauth-protected-resource gibt Protected-Resource-Metadaten zurück.

• nicht authentifiziertes POST /functions/v1/open-brain-web-gateway gibt 401 und eine OAuth-WWW-Authenticate-Herausforderung zurück.

• ungültige Benutzer, Clients, Issuer, Zielgruppen und abgelaufene Tokens schlagen fehl und bleiben geschlossen, ohne einen Upstream-Aufruf.

Rollback

Widerrufen Sie den betroffenen OAuth-Client, deaktivieren Sie den Connector in Gemini oder Perplexity, deaktivieren Sie den Supabase-OAuth-Server, wenn keine Clients mehr vorhanden sind, und löschen Sie nur die beiden Gateway-Edge-Functions. Die bestehenden Open-Brain-Daten und die ChatGPT-, Codex- und agy-Integrationen bleiben unverändert.