模型上下文协议（MCP）服务器 + Access OAuth

这是一个模型上下文协议（MCP）服务器，支持远程 MCP 连接，并内置了 Access OAuth 认证。

您可以将其部署到自己的 Cloudflare 账户中，创建自己的 Access for SaaS OIDC 应用后，就能获得一个功能完备的远程 MCP 服务器，供用户使用。用户只需通过您的 Access 身份提供商登录，即可连接到您的 MCP 服务器。

该 MCP 服务器（由 Cloudflare Workers 提供支持）：

• 对您的 MCP 客户端充当 OAuth 服务器

• 对您的真实 OAuth 服务器（此处为 Access）充当 OAuth 客户端

快速开始

克隆仓库并安装依赖：npm install

生产环境部署

创建一个新的 Access for SaaS OIDC 应用：

• 对于授权回调 URL，填写 https://mcp-access-oauth.<your-subdomain>.workers.dev/callback；如果在本地开发，则填写 http://localhost:8788/callback。

• 记下您的客户端 ID 和客户端密钥。

• 通过 Wrangler 设置密钥

wrangler secret put ACCESS_CLIENT_ID
wrangler secret put ACCESS_CLIENT_SECRET
wrangler secret put ACCESS_TOKEN_URL
wrangler secret put ACCESS_AUTHORIZATION_URL
wrangler secret put ACCESS_JWKS_URL
wrangler secret put COOKIE_ENCRYPTION_KEY # add any random string here e.g. openssl rand -hex 32

创建 KV 命名空间

• 创建 KV 命名空间： wrangler kv:namespace create "OAUTH_KV"

• 使用 KV ID 更新 Wrangler 配置文件

部署与测试

部署 MCP 服务器，使其在您的 workers.dev 域名上可用 wrangler deploy

使用 Inspector 测试远程服务器：

npx @modelcontextprotocol/inspector@latest

在地址栏输入 https://mcp-access-oauth.<your-subdomain>.workers.dev/mcp 并点击连接。完成认证流程后，您将看到工具正常显示：

至此，您已成功部署了一个远程 MCP 服务器！

访问控制

该 MCP 服务器使用 Access 进行身份认证。所有通过 Access 认证的用户都可以使用基础工具，如"add"。

"generateImage" 工具则仅限于 ALLOWED_USERNAMES 配置中列出的特定 Access 用户使用：

// Add user emails for image generation access
const ALLOWED_EMAILS = new Set(["employee1@mycompany.com", "teammate1@mycompany.com"]);

从 Claude Desktop 访问远程 MCP 服务器

打开 Claude Desktop，进入设置 -> 开发者 -> 编辑配置。该配置文件控制着 Claude 可以访问哪些 MCP 服务器。

将内容替换为以下配置。重启 Claude Desktop 后，浏览器窗口将打开并显示您的 OAuth 登录页面。完成认证流程后，Claude 即可访问您的 MCP 服务器。认证完成后，工具即可正常使用。

{
  "mcpServers": {
    "math": {
      "command": "npx",
      "args": [
        "mcp-remote",
        "https://mcp-access-oauth.<your-subdomain>.workers.dev/mcp"
      ]
    }
  }
}

当工具（🔨 图标下）出现在界面中后，您就可以让 Claude 使用它们了。例如："你能用数学工具计算 23 加 19 吗？"。Claude 将调用该工具并显示 MCP 服务器返回的结果。

本地开发

如果您希望在本地环境中进行迭代和测试，可以按以下方式操作。

• 对于主页 URL，填写 http://localhost:8788

• 对于授权回调 URL，填写 http://localhost:8788/callback

• 记下您的客户端 ID 并生成客户端密钥。

• 在项目根目录创建 .dev.vars 文件，内容如下：

ACCESS_CLIENT_ID=<your client id>
ACCESS_CLIENT_SECRET=<your client secret>
ACCESS_TOKEN_URL=<your Access for SaaS token url>
ACCESS_AUTHORIZATION_URL=<your Access for SaaS authorization url>
ACCESS_JWKS_URL=<your Access for SaaS JWKS url>
COOKIE_ENCRYPTION_KEY=COOKIE_ENCRYPTION_KEY

开发与测试

在本地运行服务器，使其在 http://localhost:8788 上可用 wrangler dev

要测试本地服务器，请在 Inspector 中输入 http://localhost:8788/mcp 并点击连接。按照提示操作后，您就可以看到"工具列表"。

使用 Claude 和其他 MCP 客户端

当您使用 Claude 连接远程 MCP 服务器时，可能会看到一些错误信息。这是因为 Claude Desktop 目前尚不支持远程 MCP 服务器，有时会出现混淆。要确认 MCP 服务器是否已连接，请查看 Claude 界面右下角的 🔨 图标。如果已连接，您应该能在其中看到可用的工具。

使用 Cursor 和其他 MCP 客户端

要在 Cursor 中连接 MCP 服务器，请选择 类型："命令"，并在 命令 字段中组合命令和参数（例如 npx mcp-remote https://<your-worker-name>.<your-subdomain>.workers.dev/mcp）。

请注意，虽然 Cursor 支持 HTTP+SSE 服务器，但不支持身份认证，因此您仍然需要使用 mcp-remote（并且要使用 STDIO 服务器，而不是 HTTP 服务器）。

您还可以通过打开客户端的配置文件，添加与 Claude 配置相同的 JSON 内容，然后重启 MCP 客户端，即可将 MCP 服务器连接到 Windsurf 等其他 MCP 客户端。

工作原理

OAuth 提供方

OAuth 提供方库为 Cloudflare Workers 提供了完整的 OAuth 2.1 服务器实现。它处理了 OAuth 流程中的所有复杂环节，包括令牌签发、验证和管理。在本项目中，它扮演着双重角色：

• 对连接到您服务器的 MCP 客户端进行身份认证

• 管理与 Access 的连接，处理 Access 的 OAuth 服务

安全存储

安全存储模块利用 Cloudflare 的 KV 存储和 Durable Objects，为 OAuth 流程提供可靠的状态管理：

• 为您的 MCP 服务器提供持久化状态管理

• 在请求之间安全存储认证上下文

• 通过 this.props 提供已认证用户的信息访问

• 支持根据用户身份条件性地开放工具权限

MCP 远程库

MCP 远程库使您的服务器能够向 MCP 客户端（如 Inspector）暴露工具。它：

• 定义了客户端与服务器之间的通信协议

• 提供了一种结构化的工具定义方式

• 处理请求和响应的序列化与反序列化

• 维护客户端与服务器之间的服务器发送事件（SSE）连接