模型上下文协议（MCP）服务器+PingFederate
这是一个 模型上下文协议（MCP） 支持远程MCP连接的服务器，内置PingFederate。
由...驱动 Cloudflare员工，MCP服务器在OAuth架构中充当资源服务器。它验证传入的请求并促进令牌交换，确保MCP客户端和下游API之间的安全通信。
\[！警告\] 这是一个演示模板，旨在帮助您快速入门。虽然我们已经实施了几种安全控制， 在部署到生产环境之前，您必须实施所有预防性和深度防御安全措施请查看MCP规范： 安全最佳实践
入门指南
本演示展示了MCP服务器如何代表最终用户安全地调用受保护的API。首先：
\[！注意\] 这里使用的API可以是任何PingFederate-secured的API。在本例中，我们使用Cloudflare workers API，但目标是演示如何使用此体系结构将任何API连接到MCP服务器。
从Cloudflare Workers AI LLM Playground访问远程MCP服务器
引导到 https://playground.ai.cloudflare.com 并使用以下URL模式连接到您的MCP服务器：
https://remote-mcp-ping-federate..workers.dev/mcp从Claude Desktop访问远程MCP服务器
打开克劳德桌面，导航到设置->开发人员->编辑配置。这将打开控制Claude可以访问哪些MCP服务器的配置文件。
用以下配置替换内容。重新启动Claude Desktop后，将打开一个浏览器窗口，显示您的OAuth登录页面。完成身份验证流程，授予Claude访问您的MCP服务器的权限。授予访问权限后，这些工具将可供您使用。
{
"mcpServers": {
"todo-mcp": {
"command": "npx",
"args": [
"mcp-remote",
"https://remote-mcp-ping-federate..workers.dev/mcp"
]
}
}
}一旦工具（下🔨) 在界面中显示，您可以要求Claude使用它们。例如：“你能告诉我我的待办事项列表中有什么吗？”。Claude应该调用该工具并显示MCP服务器生成的结果。
它是如何工作的？
这种架构将Cloudflare workers的无状态特性与经过身份验证的MCP会话的有状态要求联系起来。
身份验证和客户端引导
当未注册的MCP客户端尝试在没有令牌的情况下连接到MCP服务器时，服务器会为客户端提供必要的详细信息，以便动态执行动态客户端注册（DCR）。这允许客户端通过PingFederate自动处理用户登录和同意，提供连接到MCP服务器和MCP服务器执行委托令牌交换所需的令牌。
\[！注意\] 此实现利用动态客户注册（DCR）来处理客户入职。虽然MCP协议建议将CIMD作为新标准，但DCR仍然是PingFederate等企业身份提供商目前支持的唯一生产就绪选项。随着支持的增加，此架构的未来版本可能会过渡到CIMD。
Cloudflare代理（州和交通）
MCP服务器扩展了McpAgent类，该类自动将MCP逻辑封装在持久对象中。这可以处理复杂的基础设施要求：
- 会话持久性： 它为每个MCP连接创建一个专用的隔离环境，并将PingFederate令牌安全地保存在持久对象的存储中(
this.props). - 网络传输： 代理管理原始HTTP连接。它接受传入的请求，并将响应作为服务器发送事件（SSE）流保持打开状态，使持久对象能够通过单个端点将实时更新推送回客户端。
MCP SDK（工具逻辑）
官方的 @modelcontextprotocol/sdk 用于定义MCP服务器的实际能力。在代理内部，有一个McpServer实例：
- 处理协议： 管理JSON-RPC消息和工具定义的序列化。
用例和可扩展性
该架构展示了一种将AI代理连接到受PingFederate保护的API的模式。远程MCP服务器使LLM能够代表经过身份验证的用户与API交互，而无需修改目标API的现有权限模型。通过利用动态客户端注册（DCR）和令牌交换等标准OAuth 2.0模式，该项目为实现与企业数据的自然语言交互提供了蓝图，同时实施了基于身份的访问控制和同意。