Open Brain 网络网关

面向 Tony 的 Gemini Spark 和 Perplexity 网络客户端的 OAuth 保护远程 MCP 网关。它将已批准的调用转发给现有的原生 Open Brain，绝不创建另一个 brain。

边界

• Open Brain 是操作记忆，不是 Continuity、COTA、Current-State Tracker 或所有者验收权威。

• 不自动捕获聊天。捕获工具仅用于明确请求。

• 原生 Open Brain 仓库和 Edge Function 保持不变。

• 浏览器客户端接收短期 OAuth 令牌，绝不接收长期有效的 Open Brain 访问密钥。

• OAuth 令牌在此网关处验证后即终止；它们不会被传递给上游 Open Brain。

组件

• open-brain-web-gateway：受 OAuth 保护的 Streamable HTTP MCP 中继，具有客户端/用户允许列表、精确和摘要别名，以及权威的写入后回执。

• docs/：GitHub Pages 电子邮件链接登录和 OAuth 同意 UI，以及隐私和条款页面。

• open-brain-oauth-ui：可部署的源代码，保留作为未来自定义 Supabase 域名的后备方案；默认的 Supabase Functions 域名有意将 HTML 重写为纯文本。

必需的活动配置

1. 启用 Supabase OAuth 2.1 Server，授权路径为 /oauth/consent。

2. Auth Site URL：https://derivedbetter.github.io/open-brain-oauth-ui。

3. 授权路径：/oauth/consent/，重定向允许列表包含 https://derivedbetter.github.io/open-brain-oauth-ui/**。

4. 两个预注册的机密客户端：Gemini Spark 和 Perplexity。

5. Edge 密钥：

   • OPEN_BRAIN_ALLOWED_EMAILS=<approved-email>

   • OPEN_BRAIN_OAUTH_CLIENT_IDS=<gemini-client-id>,<perplexity-client-id>

   • 可选 OPEN_BRAIN_OAUTH_AUDIENCES=authenticated,<gateway-url>

   • 现有的 MCP_ACCESS_KEY 保留在服务端。

试点期间动态客户端注册保持禁用。

验证

npm test
npx -y supabase@latest functions deploy open-brain-oauth-ui --project-ref zoptbgumxukgpkgbtnpz --no-verify-jwt
npx -y supabase@latest functions deploy open-brain-web-gateway --project-ref zoptbgumxukgpkgbtnpz --no-verify-jwt

在连接客户端之前测试发现和未认证失败：

• GET /functions/v1/open-brain-web-gateway/.well-known/oauth-protected-resource 返回受保护资源元数据。

• 未认证的 POST /functions/v1/open-brain-web-gateway 返回 401 和 OAuth WWW-Authenticate 质询。

• 无效用户、客户端、签发者、受众和过期令牌均以失败关闭，不进行上游调用。

回滚

撤销受影响的 OAuth 客户端，在 Gemini 或 Perplexity 中禁用连接器，如果没有剩余客户端则禁用 Supabase OAuth Server，并且仅删除两个网关 Edge Functions。现有的 Open Brain 数据以及 ChatGPT、Codex 和 agy 集成保持不变。