Remote MCP 与 OAuth：为什么连接按钮背后仍需要权限设计

核心判断

OAuth 解决身份委托，不自动保证工具权限最小或用户理解授权范围。

落地步骤

声明 Scope；展示工具集；支持增量授权；提供撤销入口；复查 Token 生命周期。

完成前检查

确认负责人、数据与权限边界、失败恢复、可观测信号和回滚条件；用一次真实样例完成端到端验证，再扩大范围。

一手资料

https://modelcontextprotocol.io/specification/latest/basic/authorization