田中博悠 / tanahiro2010

名前は同じ、意味は別

認証なしで叩くと

HTTP/2 401
www-authenticate: Bearer realm="OAuth",
  resource_metadata="...",
  scope="user:read account:read"

チャレンジ

HTTP/1.1 403 Forbidden
WWW-Authenticate: Bearer
  error="insufficient_scope",
  scope="files:write",
  resource_metadata="..."

Step-Up Authorization Flow

1. WWW-Authenticate を読む
2. 前回の Scope ∪ チャレンジの Scope
3. 再認可する
4. 元のリクエストを再試行

3 は普通の OAuth 認可コードフロー

Google と MCP

Step-Up の節が入った版

Cloudflare がリンクしてるのは 2026-07-28

和集合を作るのは

Issue #2349

This contradicts the RFC,
creates an **impossible requirement
for stateless servers**,
and leads to **infinite
re-authorization loops** in practice.

#1582 の再現手順

• initialize は init が要る
• tools/list は mcp:tools:read が要る

そして

tools/list → 403 → init を失う
initialize → 403 → tools:read を失う
tools/list → 403 → init を失う
       ⋮

@modelcontextprotocol/client

function computeScopeUnion(...scopes) {
  const seen = new Set()
  for (const scope of scopes) {
    for (const t of scope.split(/\s+/)) seen.add(t)
  }
  return [...seen].join(' ')
}

403 を見たら自動で和集合にする

自前の最小クライアント

• OAuth を手で踏む（DCR / PKCE）
• 通信層は例外を投げない
• 全送信を 1 行 JSON で記録

400 も 403 も観測結果なので

秘密は指紋にする

"access_token": {
  "_redacted_len": 82,
  "_sha256_16": "184d68d85f68caab"
}

チャレンジ全文

HTTP/2 403
WWW-Authenticate: Bearer realm="OAuth",
  error="insufficient_scope",
  scope="user:read account:read workers-r2.read",
  error_description="This operation needs
    the workers-r2.read scope"

ここ、割れてました

実験 D-1

要求 : d1.read

付与された

要求 : d1.read
付与 : d1.read user:read offline_access account:read

残った理由、3つ考えられる

1. 認可サーバーが保持している
2. DCRの登録scopeに入れた（自分のミス）
3. baseline を既定で出してるだけ

2 は自分で混ぜ込んだ交絡

付与された

要求 : workers-r2.read
付与 : workers-r2.read user:read offline_access account:read

トークンを変えて3回観測

つまり

challenge.scope =
    トークンの付与Scope
  ∪ その操作に必要なScope

[email protected] の403ハンドラ

if (error === 'insufficient_scope') {
  if (scope) {
    this._scope = scope   // 上書き
  }

さっきのループ条件そのもの

権限が無いのに

GET /zones
→ 200  result: []

同じ呼び出し

同じサーバーに3通り

step-up できるのは1行目だけ

投げてみた

ライブラリのソース

private downscope(requested, allowed) {
  if (!requested) return allowed
  return requested.filter(s => allowed.includes(s))
}

違いは3つ

1. 気づくのが誰か → サーバー
2. 伝える手段があるか → WWW-Authenticate
3. 覚えてるのが誰か → クライアント

再認可そのものは同じOAuth

境界を二分探索した

39文字 → 401 invalid_token
40文字 → 403 insufficient_scope

[A-Za-z0-9_-] のとき

潰しました