FastMCP OAuth 客户端凭据缺少 issuer 绑定

FastMCP 维护方确认，4.0.0–4.1.1 版的 ClientCredentialsOAuthProvider 与 PrivateKeyJWTOAuthProvider 未暴露授权服务器 issuer，不可信的 MCP 服务器可广告另一授权服务器，从而收到客户端密钥或签名断言。受影响的是 fastmcp 与 fastmcp-slim 的 4.0.0–4.1.1 稳定版。 4.1.2 修复为两个 provider 增加 issuer 参数，并要求 MCP SDK 2.2.0。但仅升级不够：为兼容性仍允许省略 issuer，省略时会发出 MCPDeprecationWarning；用户须把 issuer 配置为签发凭据的授权服务器标识，才能获得保护。

AI 根据报道生成 · 2 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。