#OAuth 2.1

MCP 远程服务器的 OAuth 令牌受众校验：为什么为 A 服务签发的令牌能调用 B 服务

多台远程 MCP Server 共用同一授权服务器时，为 A 服务签发的访问令牌常能直接调用 B 服务。本文解释 RFC 8707 资源指示器与 aud 绑定机制，分析授权服务器未按资源签发、客户端复用令牌、资源服务器漏校验 aud 三类成因，对比静态 API Key 与逐服务令牌方案，并给出校验逻辑与可观测指标。