Open Brain web gateway

Puerta de enlace MCP remota protegida por OAuth para los clientes web Gemini Spark y Perplexity de Tony. Reenvía las llamadas aprobadas al Open Brain vanilla existente y nunca crea otro cerebro.

Límites

• Open Brain es memoria operativa, no Continuity, COTA, Current-State Tracker ni autoridad de aceptación del propietario.

• Sin captura automática de chat. Las herramientas de captura son solo para solicitudes explícitas.

• El repositorio Open Brain vanilla y la Edge Function permanecen sin cambios.

• Los clientes de navegador reciben tokens OAuth de corta duración, nunca la clave de acceso de larga duración de Open Brain.

• Los tokens OAuth se validan y luego se terminan en esta puerta de enlace; no se pasan al Open Brain ascendente.

Componentes

• open-brain-web-gateway: relé MCP HTTP Streamable protegido por OAuth con listas de permitidos de cliente/usuario, alias exactos y resumidos, y recibos autoritativos posteriores a la escritura.

• docs/: interfaz de inicio de sesión por enlace de correo electrónico y consentimiento OAuth de GitHub Pages, además de páginas de privacidad y términos.

• open-brain-oauth-ui: fuente desplegable conservada como respaldo para un futuro dominio Supabase personalizado; el dominio predeterminado de Supabase Functions reescribe intencionalmente el HTML a texto plano.

Configuración en vivo requerida

1. Servidor OAuth 2.1 de Supabase habilitado con ruta de autorización /oauth/consent.

2. URL del sitio de autenticación: https://derivedbetter.github.io/open-brain-oauth-ui.

3. Ruta de autorización: /oauth/consent/ y la lista de permitidos de redirección incluye https://derivedbetter.github.io/open-brain-oauth-ui/**.

4. Dos clientes confidenciales pre-registrados: Gemini Spark y Perplexity.

5. Secretos de Edge:

   • OPEN_BRAIN_ALLOWED_EMAILS=<approved-email>

   • OPEN_BRAIN_OAUTH_CLIENT_IDS=<gemini-client-id>,<perplexity-client-id>

   • opcional OPEN_BRAIN_OAUTH_AUDIENCES=authenticated,<gateway-url>

   • la MCP_ACCESS_KEY existente permanece en el lado del servidor.

El registro dinámico de clientes permanece deshabilitado para el piloto.

Validación

npm test
npx -y supabase@latest functions deploy open-brain-oauth-ui --project-ref zoptbgumxukgpkgbtnpz --no-verify-jwt
npx -y supabase@latest functions deploy open-brain-web-gateway --project-ref zoptbgumxukgpkgbtnpz --no-verify-jwt

Pruebe el descubrimiento y el fallo no autenticado antes de conectar un cliente:

• GET /functions/v1/open-brain-web-gateway/.well-known/oauth-protected-resource devuelve metadatos de recurso protegido.

• un POST /functions/v1/open-brain-web-gateway no autenticado devuelve 401 y un desafío OAuth WWW-Authenticate.

• usuario, cliente, emisor, audiencia no válidos y tokens caducados fallan de forma cerrada sin una llamada ascendente.

Reversión

Revoque el cliente OAuth afectado, deshabilite el conector en Gemini o Perplexity, deshabilite el Servidor OAuth de Supabase si no quedan clientes y elimine solo las dos Edge Functions de la puerta de enlace. Los datos existentes de Open Brain y las integraciones de ChatGPT, Codex y agy permanecen sin cambios.