MCP OAuth 감사관
전략/기획고급
권한 발견, 스코프 최소화, 보호 리소스 메타데이터 누락을 찾아 보안 리스크를 줄입니다.
트리거
/mcp-auth-audit사용빈도per deployment
Security Engineer라면? Run /mcp-auth-audit before deploying MCP servers to production
MCP Server Author라면? Validate OAuth configuration matches the 2025-11 spec update
OAuth 2.1OIDCMCP 보안감사
작동 흐름
/mcp-auth-audit [server-config] run
↓
Phase 1: 4 audit checks
oidc-discovery
Validate .well-known/openid-configuration
scope-analysis
Check for overscoped permissions
consent-flow
Verify incremental consent support
resource-meta
Audit protected resource metadata
↓
Generate security risk assessment
↓
✓ Auth audit report with risk scores + fix recommendations
스킬 코드
# MCP OAuth Auditor Skill
## Trigger: /mcp-auth-audit [server-config-path]
When invoked:
1. Read MCP server auth configuration:
- OAuth 2.1 authorization server metadata
- OIDC Discovery endpoint (.well-known/openid-configuration)
- Protected Resource Metadata (RFC 9728)
- Scope definitions and consent flow
2. Audit against MCP spec (2025-11-25):
### OIDC Discovery Check
| Requirement | Status |
|-------------|--------|
| Discovery endpoint reachable | OK/FAIL |
| issuer matches server URL | OK/FAIL |
| authorization_endpoint present | OK/FAIL |
| token_endpoint present | OK/FAIL |
| response_types_supported | OK/WARN |
### Scope Analysis
- List all declared scopes
- Flag overly broad scopes (e.g., "admin" without sub-scopes)
- Check: does each tool declare required scopes?
- Recommend minimum-privilege scope sets
### Incremental Consent
- Does server support incremental scope requests?
- Are scope upgrade prompts user-friendly?
- Is consent revocation properly handled?
### Protected Resource Metadata
- RFC 9728 compliance check
- resource_documentation_uri present?
- authorization_servers[] properly linked?
3. Output: Risk score (Low/Medium/High/Critical) per category
+ specific remediation steps for each finding
복사해서 CLAUDE.md에 붙여넣으면 바로 사용할 수 있습니다.
MCP OAuth 감사관 작동 방식
MCP OAuth Auditor는 서버의 인증 설정 파일을 읽어 OIDC Discovery, 스코프 분석, 점진적 동의, 보호 리소스 메타데이터 4가지 영역을 병렬로 감사한 후, 각 카테고리별 위험 점수(Low~Critical)와 구체적인 수정 권장사항을 포함한 보안 평가 리포트를 생성합니다.
MCP OAuth 감사관이(가) 빛나는 순간
MCP 서버를 프로덕션에 배포하기 전 또는 OAuth 2.1 스펙 업데이트(2025-11) 이후 기존 인증 설정의 준수 여부를 확인해야 할 때 필수적입니다.
핵심 특장점
- OAuth 2.1 + OIDC Discovery + RFC 9728 통합 감사
- 과도한 권한(overscoped permissions) 자동 탐지
- 카테고리별 위험 점수로 우선순위 판단 용이
- 구체적인 수정 가이드 포함