Bearer token e header

Un bearer token è una stringa segreta che significa «chiunque la possieda può accedere». Il server si fida del possessore e non serve una password per ogni chiamata. 🎟️

I client inviano il token nell'header HTTP Authorization, così viene incluso automaticamente in ogni richiesta.

Il valore dell'header inizia con la parola Bearer, seguita da uno spazio e dal token. Questo prefisso indica al server quale schema di autenticazione viene utilizzato.

Il server MCP estrae il valore di Authorization dalla richiesta in arrivo prima di gestire il body JSON-RPC.

Il server confronta il token con quello previsto. Se corrisponde, la richiesta passa; in caso contrario viene rifiutata.

Un'uguaglianza semplice può rivelare informazioni sui tempi di esecuzione. Usi un confronto a tempo costante, così gli aggressori non possono indovinare il token carattere per carattere.

Restituisca 401 Unauthorized quando il token manca o non è valido. In questo modo si segnala al chiamante di fornire credenziali valide.

Usi 403 Forbidden quando il chiamante è noto ma non dispone dell'autorizzazione per quell'azione. È una risposta diversa da 401.

Non inserisca mai il token nella query string. Gli URL finiscono nei log e nella cronologia del browser, quindi l'header è il posto più sicuro per conservare i segreti.

Legga il token previsto da una variabile d'ambiente, senza mai inserirlo direttamente nel codice sorgente. In questo modo non finirà nel controllo versione.

Se un token potrebbe essere stato esposto, ne emetta uno nuovo e disattivi quello precedente. La rotazione limita il periodo in cui un segreto divulgato rimane utilizzabile.

Invii il segreto come Bearer nell'header Authorization, lo confronti in modo sicuro e restituisca 401 quando il controllo fallisce. Semplice e solido. ✅