โทเค็น Bearer และเฮดเดอร์

Bearer token คือสตริงลับที่หมายความว่า “ใครก็ตามที่ถือสิ่งนี้ได้รับอนุญาตให้เข้าได้” เซิร์ฟเวอร์ไว้วางใจผู้ถือโทเค็น จึงไม่ต้องใช้รหัสผ่านในแต่ละการเรียก 🎟️

ไคลเอ็นต์ส่งโทเค็นในเฮดเดอร์ Authorization ของ HTTP เพื่อให้โทเค็นติดไปกับทุกคำขอโดยอัตโนมัติ

ค่าของเฮดเดอร์จะเริ่มต้นด้วยคำว่า Bearer ตามด้วยช่องว่างและโทเค็น คำนำหน้านี้จะบอกเซิร์ฟเวอร์ว่ากำลังใช้รูปแบบการยืนยันตัวตนใด

เซิร์ฟเวอร์ MCP ของคุณจะดึงค่า Authorization จากคำขอขาเข้าก่อนจัดการเนื้อหา JSON-RPC

เซิร์ฟเวอร์ตรวจสอบโทเค็นกับค่าที่คาดไว้ หากตรงกันก็อนุญาตให้คำขอผ่าน มิฉะนั้นจะถูก ปฏิเสธ

การตรวจความเท่ากันแบบทั่วไปอาจเผยเบาะแสจากเวลาได้ ให้ใช้การเปรียบเทียบแบบ ใช้เวลาเท่ากัน เพื่อป้องกันผู้โจมตีไม่ให้เดาโทเค็นทีละตัวอักษร

ส่ง 401 Unauthorized เมื่อโทเค็นหายไปหรือไม่ถูกต้อง ซึ่งเป็นสัญญาณให้ผู้เรียกส่งข้อมูลรับรองที่ถูกต้อง

ใช้ 403 Forbidden เมื่อทราบตัวผู้เรียก แต่ผู้เรียกไม่มีสิทธิ์ดำเนินการนั้น คำตอบนี้แตกต่างจาก 401

อย่าใส่โทเค็นไว้ในสตริงคำค้น URL จะไปปรากฏในบันทึกการใช้งานและประวัติเบราว์เซอร์ ดังนั้น เฮดเดอร์จึงเป็นที่เก็บความลับที่ปลอดภัยกว่า

อ่านโทเค็นที่คาดไว้จาก ตัวแปรสภาพแวดล้อม และอย่าเขียนค่าไว้ตายตัวในซอร์สโค้ด วิธีนี้จะป้องกันไม่ให้โทเค็นอยู่ในระบบควบคุมเวอร์ชัน

หากโทเค็นอาจรั่วไหล ให้ออกโทเค็นใหม่และยกเลิกโทเค็นเก่า การ หมุนเวียนโทเค็นจะจำกัดระยะเวลาที่ความลับที่รั่วไหลยังใช้งานได้

ส่งความลับในรูปแบบ Bearer ผ่านเฮดเดอร์ Authorization เปรียบเทียบอย่างปลอดภัย และตอบกลับ 401 เมื่อไม่ผ่าน เรียบง่ายและมั่นคง ✅