Ограничение возможностей токена
Ограничьте доступ только к нужным инструментам и данным.
«Ограничение возможностей токена» — бесплатный урок MCP Academy на CoddyKit. Это урок 4 из 4. Ты можешь прочитать весь урок бесплатно ниже — а потом практиковать его прямо в браузере с встроенным редактором кода и ИИ-репетитором 24/7. Это часть пути обучения MCP Academy, и твой прогресс синхронизируется между веб-версией и приложением CoddyKit. Курс MCP Academy содержит 4 уроков всего.
Токен не даёт доступ ко всему
Действительный токен не должен открывать доступ ко всему. Области действия позволяют токену содержать только те разрешения, которые действительно нужны его владельцу. 🎯
Что такое область действия
Область действия — это именованное разрешение, например на чтение или запись. Токены выдаются с набором областей действия, описывающих, что они могут делать.
Минимальные привилегии
Следуйте принципу минимальных привилегий: предоставляйте наименьший набор областей действия, достаточный для выполнения задачи, и ничего сверх этого.
Области действия связаны с токеном
Когда OAuth выдаёт токен, предоставленные ему области действия записываются вместе с ним. Сервер может прочитать их и решить, что разрешить.
{
"access_token": "eyJ...",
"scope": "tools:read tools:run"
}Проверяйте область действия для каждого инструмента
Перед запуском чувствительного инструмента убедитесь, что токен содержит требуемую область действия. Если её нет, отклоните вызов.
if "tools:run" not in token_scopes:
raise HTTPException(status_code=403)Чтение и запись
Разделяйте область действия для чтения и область действия для записи, чтобы токен, предназначенный только для просмотра данных, не мог незаметно их изменить.
Разрешения для отдельных инструментов
Вы можете задавать доступ отдельно для каждого инструмента: открыть безопасный калькулятор всем, а инструмент удаления закрыть за более строгой областью действия.
Ограничивайте и данные
Области действия могут ограничивать, какие ресурсы видит токен, например одну папку проекта, а не каждый файл, к которому сервер может получить доступ.
Отсутствующая область действия — это 403
Запрос с действительным токеном, но неправильной областью действия прошёл аутентификацию, однако не получил разрешения, поэтому правильный ответ — 403 Forbidden.
Проверяйте выданные разрешения
Ведите запись о том, какие токены содержат какие области действия. Журнал аудита помогает понять, кто что мог сделать, если что-то пойдёт не так.
Постепенно ужесточайте доступ
Регулярно проверяйте области действия и отзывайте те, которые больше не нужны. Постепенное сужение разрешений уменьшает поверхность атаки.
Быстрая проверка
Выберите самый безопасный вариант проектирования.
Итог: только необходимый доступ
Области действия превращают один токен в точный ключ. Предоставляйте минимально необходимое, проверяйте доступ для каждого инструмента и отвечайте кодом 403, если область действия отсутствует. 🗝️
Часто задаваемые вопросы
Урок «Ограничение возможностей токена» бесплатный?
Да — полный текст урока «Ограничение возможностей токена» бесплатно доступен здесь в веб-версии. Чтобы практиковать его интерактивно (встроенный редактор кода и ИИ-репетитор 24/7) и разблокировать остальной курс MCP Academy, подпишись на CoddyKit PRO. Курс MCP Academy содержит 4 уроков всего.
Чему я научусь в уроке «Ограничение возможностей токена»?
Ограничьте доступ только к нужным инструментам и данным. Ты практикуешь MCP Academy с помощью реального кода, который запускаешь прямо в браузере, и ИИ-репетитор 24/7 отвечает на твои вопросы во время урока.
Нужен ли мне опыт, чтобы начать MCP Academy?
Предыдущий опыт не требуется. MCP Academy на CoddyKit структурирован для всех уровней — от новичков до продвинутых, поэтому ты можешь начать отсюда или с самого начала и учиться в своем темпе. Это урок 4 из 4.
Сколько времени занимает урок «Ограничение возможностей токена»?
Большинство уроков CoddyKit занимают около 5–10 минут. Каждый из них компактный и интерактивный, поэтому ты постоянно делаешь прогресс и продолжаешь с того же места в веб-версии и приложении.
Можно ли писать и запускать код в этом уроке MCP Academy?
Да. Каждый урок MCP Academy включает встроенный редактор кода, поэтому ты пишешь и запускаешь реальный код прямо в браузере и получаешь моментальную обратную связь от AI — локальная установка не требуется.
Все уроки этого курса
- Зачем удалённым серверам аутентификация
- Токены предъявителя и заголовки
- Процесс OAuth в MCP
- Ограничение возможностей токена