APS-MCP-Authentifizierungsbeispiele

Referenzimplementierungen von MCP-Servern, die in Autodesk Platform Services integriert sind und jede Kombination abdecken aus:

• Wie der Server sich bei APS authentifiziert

  • 2LO – 2-Bein-OAuth, app-weit

  • 3LO – 3-Bein-OAuth, pro Benutzer

  • PKCE – 3-Bein-OAuth für öffentliche Clients, pro Benutzer

  • SSA – Sicheres Dienstkonto, nicht-menschliche Identität

• Wie MCP-Clients sich beim Server authentifizieren

  • überhaupt nicht (STDIO)

  • über einen externen Identitätsanbieter

  • über einen OAuth-Proxy-Dienst

Alle HTTP-basierten Beispiele zielen auf die MCP-Spezifikationsrevision 2026-07-28 über das aufgeteilte MCP TypeScript SDK v2 (@modelcontextprotocol/{server,express,node}), das von MCP-Servern verlangt, als OAuth-2.1-Ressourcenserver zu fungieren, die von einem dedizierten Autorisierungsserver unterstützt werden, und Client-ID-Metadatendokumente (CIMD) gegenüber der dynamischen Client-Registrierung zur Identifizierung von MCP-Clients bevorzugt.

Jedes Beispiel stellt dieselben MCP-Tools bereit, die einmal in shared/ implementiert und überall wiederverwendet werden: list-projects (Hubs + Projekte, über die Data-Management- API) und list-contents (die Top-Level-Ordner eines Projekts oder die Inhalte eines bestimmten Ordners).

Die Beispiele

Related MCP server: Devcon MCP Workshop 2026

Einrichtung für alle Beispiele

1. Registrieren Sie eine APS-Anwendung unter https://aps.autodesk.com/myapps (eine Traditional Web App, falls Sie ein 3LO-Beispiel verwenden; eine Server-to-Server- App im API-Key-Stil genügt für die reine 2LO-Nutzung). Erstellen Sie für SSA zusätzlich ein Secure Service Account und registrieren Sie dessen öffentlichen Schlüssel – siehe den SSA-Leitfaden.

2. Führen Sie npm install im Repository-Stammverzeichnis aus – dies ist ein npm-Workspaces-Projekt, sodass eine einzige Installation shared und alle vier TypeScript-Server auflöst.

3. Führen Sie ein beliebiges TypeScript-Beispiel mit npm start aus dessen Ordner heraus aus (oder npm run start -w <Paketname> vom Stammverzeichnis), nachdem Sie dessen .env.example in .env kopiert und die Werte für Ihren gewählten APS_AUTH_MODE ausgefüllt haben.

4. simple-oauth-proxy ist ein separater Python/FastMCP-Dienst – siehe dessen eigene README zur Einrichtung; er wird nur benötigt, wenn Sie aps-mcp-server-remote-proxy ausprobieren möchten.

Ein Hinweis zum Umfang

Dies sind Lehrbeispiele, die dafür optimiert sind, in einer Sitzung von Anfang bis Ende gelesen zu werden. Mehrere bewusst aus Gründen der Kürze geschnittene Ecken werden im jeweiligen README hervorgehoben (nur-im-Speicher-Zustand ohne Horizontal-Scaling-Konzept, eine vereinfachte CIMD-Abfrage ohne vollständige SSRF-Härtung im OAuth-Proxy-Beispiel usw.). Übernehmen Sie die sicherheitsrelevanten Teile nicht ohne Lektüre dieser Hinweise wörtlich in die Produktion.