이번 소식
Cloudflare가 Workers OAuth Provider v1을 발표했습니다. AI가 외부 도구와 연결하는 MCP 서버를 만드는 개발자를 위한 인증 라이브러리입니다. 새 API는 로그인·권한 승인을 맡는 서버와 실제 MCP 도구를 제공하는 서버를 서로 다른 Worker로 나눌 수 있게 합니다.
주요 변경
- 인증과 도구 역할 분리: 인증 서버 하나에서 여러 MCP 서버용 토큰을 발급할 수 있습니다. 도구 서버는 Cloudflare 내부 연결인 Service Binding으로 토큰을 확인하므로, 이 검증 호출은 공개 인터넷을 거치지 않습니다.
- 대상별 권한 확인: 각 토큰은 특정 리소스에 묶이며 다른 대상을 위해 발급된 토큰은 거부합니다. 필요한 권한이 부족하면
insufficientScope()로 추가 승인을 요청하도록 응답할 수 있습니다. 부족한 권한이 자동으로 부여되는 기능은 아닙니다. - 새 MCP 인증 규격 지원: MCP 2026-07-28의 Client ID Metadata Documents와 발급자 식별을 지원합니다. 이전 클라이언트의 Dynamic Client Registration 방식도 호환 용도로 지원합니다.
영향 대상과 활용
예를 들어 일정 조회 도구와 문서 도구를 운영하는 팀은 로그인 처리를 한곳에서 관리하면서 각 도구의 허용 범위는 따로 정할 수 있습니다. 일정 조회 권한으로 시작한 작업이 일정 수정까지 필요해지면, 그 시점에 추가 권한을 요청하는 흐름을 구성할 수 있습니다. 이는 공식 구조를 풀어 쓴 활용 예이며 실제 계정에 적용해 시험한 결과는 아닙니다.
도구마다 인증 코드를 복제하는 부담을 줄이는 한편, 인증 서버와 도구 서버에 서로 다른 방화벽·요청 횟수 제한을 적용할 수 있다는 점도 변화입니다. 다만 사용자 로그인과 동의 화면은 서비스에서 구현해야 하며, 라이브러리가 모든 접근 정책을 대신 결정하지는 않습니다.
사용 전 확인할 점
기존처럼 하나의 OAuthProvider에서 인증과 MCP 처리를 함께 맡는 구성도 유지됩니다. 다수의 0.x 구성은 토큰의 대상을 명시하는 resourceMetadata.resource 추가가 기본 변경입니다. 이것만으로 모든 구성이 이전된다고 단정하지 말고, 현재 사용 중인 옵션과 대상 버전의 이전 안내를 대조해야 합니다.
공식 1.x 이전 문서는 외부 토큰의 대상 값, 리디렉션 주소, 지원 인증 흐름과 권한 설정 등 추가 확인 항목을 구분합니다. npm 패키지에는 코딩 에이전트가 참고할 이전용 스킬도 포함됩니다. 이번 기사에서는 운영 서버를 업그레이드하거나 인증 동작을 실행 검증하지 않았습니다.
공식 출처·발표 시점
공식 변경 공지 표기일은 2026년 10월 1일이며 RSS 게시 시각은 2026년 10월 1일 09:00 KST입니다. 1.x 이전 안내에서 구성별 변경을 확인했습니다.
새 글 받아보기
RSS 리더에서 BlogFlow의 새 글을 확인할 수 있습니다.