使用您自己的身份提供程序验证最终用户 authentication

默认情况下，应用程序中的每个操作都是公开的。 任何带有MCP服务器URL的LLM平台都可以调用这些操作，并且您的处理程序无法识别最终用户。

当操作需要知道哪个最终用户请求时（例如，返回其订单、权利或帐户详细信息），启用身份验证。 LLM平台使用​ 您的 ​身份提供程序(IdP)登录用户，通过每次调用发送生成的访问令牌，并且您的处理程序接收已验证的身份。

在本指南中：​了解如何连接您的身份提供程序并选择需要登录的操作。 在您的处理程序中使用经过验证的身份，部署应用程序，并测试登录和受保护的操作。

身份验证设置是一项高级任务。 首先完成基础结构设置、创建操作和部署您的应用程序。

工作原理

您自带身份提供程序。 您部署的应用程序只是OAuth 2.1 资源服务器 — 它验证您的授权服务器颁发的令牌。 它从不发出令牌，并且Adobe从不存储您的客户端ID或客户端密钥。

┌── Your identity provider ───────────────────────────────────────────────┐
│  Authorization server — you own it                                      │
│  Issues access tokens, holds the user directory, defines the scopes     │
└─────────────────────────────────────────────────────────────────────────┘
        ▲  2  user signs in, platform gets an access token
        │                                    │
        │  1  platform discovers your        │  3  every tools/call carries
        │     authorization server from      │     Authorization: Bearer <token>
        │     your app's metadata            ▼
┌── LLM platform (ChatGPT, Claude, …) ────────────────────────────────────┐
└─────────────────────────────────────────────────────────────────────────┘
                                             │
                                             ▼
┌── Your LLM App on Adobe I/O Runtime ────────────────────────────────────┐
│  Resource server — verifies the token's signature, issuer, audience,    │
│  and expiry, then enforces the auth mode you set for each action        │
│                                                                         │
│  Your handler reads the verified identity from its second argument      │
└─────────────────────────────────────────────────────────────────────────┘

为每个环境​配置身份验证。 暂存​和​ 生产 ​保持独立的设置。 在​ 生产 ​上启用身份验证之前，请验证针对开发IdP租户的配置。

开始之前

复制资源标识符

应用程序的​ 资源标识符 ​是其MCP服务器URL。 您的身份提供程序为该应用程序颁发的每个访问令牌都必须将该确切URL命名为其受众。 此受众绑定禁止使用为其他服务颁发的令牌。

在下一步中，保留身份提供程序配置的复制的MCP服务器URL。 粘贴URL而不是重新键入。 受众检查需要完全匹配的字符串，包括路径。 单个字符的差异会导致每个令牌的验证失败。

配置您的身份提供程序

步骤因提供商而异。 配置以下四个项目。

启用身份验证

有关字段要求，请参阅身份验证设置。

为每个操作选择身份验证模式

当您打开​ 启用身份验证 ​时，当前设置为​ 无 ​的每个操作都会更改为​必需。 在​ 每个操作的配置 ​下，查看该分配并设置每个操作所需的模式：

操作已设置为​ 必需 ​或​可选，请保留其现有模式。

对于​ 必需 ​或​ 可选 ​操作，请添加所需的​范围。 每个范围必须已出现在受支持的​ 范围 ​中，以便应用程序向LLM平台通告每个所需的权限。 在解决任何范围不匹配之前，平台会阻止保存。

支持的作用域​控制可用的作用域。 从该列表中删除作用域会立即从需要它的每个操作中删除该作用域。 在将范围分配给操作之前，将每个范围添加到列表中。

选择​ 需要对所有操作进行身份验证 ​将​ 无 ​操作更改为​必需，但保留已设置为​ 可选 ​的操作。 若要让每个操作都需要登录，请单独将任何剩余的​ 可选 ​行更改为​必需。 清除该复选框会将所有操作都返回到​无。

完成后，选择​保存。 身份验证模式和范围更改与应用程序级别设置一起保存。

ChatGPT支持一个应用程序中的混合身份验证模式，并单独应用每个操作的模式。 公共操作不会提示登录；受保护操作会根据需要进行提示。

Claude还通过​ 延迟身份验证 ​支持混合应用。 如果在连接器设置期间选择了​需要时登录，则公共操作仍可匿名使用，并且在调用​ Required ​操作时，平台会要求登录。 其操作全部为​ 必需 ​的应用程序需要先登录，然后才能使用。 请参阅LLM平台行为，以了解所需操作和请求登录的可选处理程序之间的区别。

部署更改

身份验证更改将在下次部署此应用程序时生效。 再次部署应用程序​到您配置的环境。 请参阅部署您的应用程序。

您的MCP服务器URL未更改。 刷新连接的元数据，并验证其身份验证设置是否与应用程序的新配置匹配。 当某个平台的身份验证方法发生更改时，该平台可能会要求您重新连接或重新创建连接。

读取处理程序中的身份

无论操作的身份验证模式如何，每当调用方发送有效令牌时，经过验证的标识都会作为第二个参数到达您的处理程序。 可选​操作可以使用该标识在可用时个性化结果，否则返回匿名结果。

使用getAuthenticatedUser读取登录用户：

const { getAuthenticatedUser } = require('@adobe/llm-apps-runtime');

module.exports = async ({ orderId }, extra) => {
  const userId = getAuthenticatedUser(extra);

  if (!userId) {
    return { content: [{ type: 'text', text: 'Sign in to see your orders.' }] };
  }

  const order = await fetchOrderForUser(userId, orderId);

  return {
    content: [{ type: 'text', text: `Order ${order.id} is ${order.status}.` }],
    structuredContent: order
  };
};

运行时将为您验证令牌。 对于​ 必需 ​操作，它会阻止每个在列出的范围中缺少有效令牌的调用。 该处理程序仅针对授权的调用方运行。 使用hasScope根据权限选择处理程序行为 — 例如，在​ 可选 ​操作中。

若要在对话期间请求登录，请从处理程序返回extra.challengeAuth()。 辅助函数仅适用于​ 可选 ​操作：

module.exports = async ({ signIn }, extra) => {
  if (signIn && !extra.authInfo) {
    return extra.challengeAuth({
      error: 'invalid_token',
      errorDescription: 'Sign in to see member pricing.'
    });
  }

  return {
    content: [{
      type: 'text',
      text: extra.authInfo ? await memberDeals() : await publicDeals()
    }]
  };
};

使用显式输入参数（如本示例中的signIn）来决定何时请求身份验证。 请勿从用户的措辞推断该决策。

设置error以匹配报告的条件。 当调用方没有有效的会话且需要登录时，使用invalid_token，如上面的示例所示。 当调用方登录但令牌缺少所需的范围时，请使用insufficient_scope。 每个LLM平台都选择提示措辞以及如何响应错误代码。 发送准确描述情况的代码。

仅当缺少所需的身份时才请求身份验证，在此示例中为!extra.authInfo检查。 登录不能解决无条件质询：处理程序在每次调用时再次请求身份验证。

保留标识服务器端。 仅将小组件需要的数据传递到structuredContent。 绝不要在structuredContent中包含访问令牌。 请参阅自定义生成的处理程序。

有关完整合同，请参阅处理程序身份验证API。

测试受保护的应用程序

您的现有插件或连接器在部署后使用更新的配置。 要创建新连接，请按照适用于您平台的说明操作：

ChatGPT

在​ 新建插件 ​对话框中，设置​ 身份验证 ​以匹配您配置应用程序操作的方式：

Optional​操作始终接受匿名调用，因此包含该操作的应用程序永远不会处于完全限定的状态 — 即使每个操作都设置为​Optional，请选择​Mixed。 只有​ 必需 ​拒绝未经身份验证的呼叫者。

查看测试ChatGPT插件以了解对话框的其余部分。

Claude

添加自定义连接器并查看其身份验证设置。 对于公共/受保护的混合应用，请选择​需要时登录（可用时）。 若要在连接器使用前请求登录，请选择​立即登录。 该对话框因帐户或组织而异；请参阅测试Claude连接器。

验证

如果登录未开始或令牌被拒绝，请参阅疑难解答。

安全指南

后续内容