Веб-шлюз Open Brain

OAuth-защищенный удаленный MCP-шлюз для веб-клиентов Тони — Gemini Spark и Perplexity. Он пересылает одобренные вызовы в существующий исходный Open Brain и никогда не создает еще один мозг.

Границы

• Open Brain — это рабочая память, а не Continuity, COTA, Current-State Tracker или орган одобрения владельца.

• Нет автоматического захвата чатов. Инструменты захвата предназначены только для явных запросов.

• Репозиторий исходного Open Brain и Edge Function остаются без изменений.

• Браузерные клиенты получают кратковременные OAuth-токены, но никогда — долгоживущий ключ доступа Open Brain.

• OAuth-токены проверяются и затем завершаются на этом шлюзе; они не передаются вышестоящему Open Brain.

Компоненты

• open-brain-web-gateway: OAuth-защищенный ретранслятор Streamable HTTP MCP со списками разрешенных клиентов/пользователей, точными и краткими алиасами и официальными подтверждениями после записи.

• docs/: пользовательский интерфейс входа по ссылке из электронной почты и согласия OAuth на GitHub Pages, а также страницы конфиденциальности и условий.

• open-brain-oauth-ui: развертываемый исходный код, сохраненный как запасной вариант для будущего собственного домена Supabase; домен Supabase Functions по умолчанию намеренно преобразует HTML в обычный текст.

Требуемая рабочая конфигурация

1. Сервер Supabase OAuth 2.1 включен с путем авторизации /oauth/consent.

2. URL сайта аутентификации: https://derivedbetter.github.io/open-brain-oauth-ui.

3. Путь авторизации: /oauth/consent/, а список разрешенных перенаправлений включает https://derivedbetter.github.io/open-brain-oauth-ui/**.

4. Два предварительно зарегистрированных конфиденциальных клиента: Gemini Spark и Perplexity.

5. Секреты Edge:

   • OPEN_BRAIN_ALLOWED_EMAILS=<approved-email>

   • OPEN_BRAIN_OAUTH_CLIENT_IDS=<gemini-client-id>,<perplexity-client-id>

   • необязательный OPEN_BRAIN_OAUTH_AUDIENCES=authenticated,<gateway-url>

   • существующий MCP_ACCESS_KEY остается на стороне сервера.

Динамическая регистрация клиентов остается отключенной на время пилотного проекта.

Проверка

npm test
npx -y supabase@latest functions deploy open-brain-oauth-ui --project-ref zoptbgumxukgpkgbtnpz --no-verify-jwt
npx -y supabase@latest functions deploy open-brain-web-gateway --project-ref zoptbgumxukgpkgbtnpz --no-verify-jwt

Проверьте обнаружение и отказ без аутентификации перед подключением клиента:

• GET /functions/v1/open-brain-web-gateway/.well-known/oauth-protected-resource возвращает метаданные защищенного ресурса.

• неаутентифицированный POST /functions/v1/open-brain-web-gateway возвращает 401 и OAuth-вызов WWW-Authenticate.

• недействительные пользователь, клиент, эмитент, аудитория и истекшие токены приводят к отказу без обращения к вышестоящей системе.

Откат

Отзовите затронутый OAuth-клиент, отключите коннектор в Gemini или Perplexity, отключите Supabase OAuth Server, если не осталось клиентов, и удалите только две шлюзовые Edge Functions. Существующие данные Open Brain и интеграции ChatGPT, Codex и agy остаются без изменений.