これははてなエンジニア Advent Calendar 2025、8日目の記事です。 Model Context Protocol (MCP)の登場で、AIアプリケーションが外部システムを呼び出し、情報を参照する手続きの標準化が進んでいる。 MCPサーバーのトランスポート層として、ローカル利用を想定したstdio(標準入出力)に加え、HTTPを利用するStreamable HTTPが定義されている。このStreamable HTTPにおいて、ユーザーに紐づくプライベートな情報を扱うために避けて通れないのが、認可(Authorization)の仕組みである。 本記事は2025年11月25日に公開されたMCPの最新仕様(2025-11-25)に基づく。 MCPの認可基盤としての「OAuth 2.1」 MCPの認可仕様(Authorization)は、IETFの標準技術(とそのドラフト)に立脚し

