Мой блог
ВкусВилл представил MCP-сервер с авторизацией через OAuth 2.0
Российская ритейл-сеть внедрила авторизацию на своем MCP-сервере для безопасного взаимодействия пользователей с искусственным интеллектом. Обновление позволяет персональным помощникам работать с персональными данными и каталогом товаров с учетом локации клиента.
Интеграция решает проблему доступности товаров, так как стандартный поиск по каталогу теперь соотносится с конкретным магазином или даркстором. В материале рассматривается процесс подключения защищенного доступа, настройки протокола и возможности обновленного функционала.
Безопасность и архитектура авторизации
Первая версия публичного сервиса столкнулась с ограничениями: ссылки от агентов открывали общий каталог без учета реального ассортимента конкретной точки доставки. Передача магазина через параметры поиска не решала задачу, поскольку распределение заказов зависит от алгоритмов локации, а персонализация и история покупок требовали прямого доступа к личному кабинету.
Разработчики сформировали требования информационной безопасности:
- Агент выполняет запросы под собственной учетной записью.
- Исключается прямой доступ ассистента к закрытой персональной информации человека.
- Пользователь самостоятельно определяет уровень делегируемых полномочий.
- Предусмотрена возможность отзыва выданных разрешений.
Описанным стандартам соответствует протокол OAuth 2.0 совместно с механизмом PKCE, рекомендованный спецификацией MCP.
Пошаговое руководство по подключению
Настройка защищенного соединения состоит из нескольких обязательных этапов, требующих корректного указания параметров и параметров перенаправления.
Шаг 1: Регистрация OAuth-клиента
Для создания клиента авторизации используется специальная страница регистрации сервиса. На данном этапе формируется персональный агент, привязанный к карте лояльности конкретного создателя. В дальнейшем планируется запуск мультипользовательских клиентов и партнерских программ.
Важным параметром является Redirect URI — адрес, куда OAuth-сервер отправляет временный код подтверждения. Различные платформы требуют индивидуального подхода:
- В ChatGPT адрес копируется из настроек плагина.
- Для Claude.ai используется стандартный endpoint обратного вызова.
- При локальном развертывании или использовании систем без публичного адреса выбирается соответствующий вариант в настройках.
Шаг 2: Передача учетных данных агенту
После завершения регистрации пользователь получает электронное письмо с конфиденциальными учетными данными. Их следует передать ассистенту согласно документации платформы. Публикация секретных ключей в открытом чате или передача сторонним сервисам запрещена в целях безопасности. В письме также содержится ссылка для удаления учетной записи и отзыва доступа.
Шаг 3: Авторизация и получение токена
При первом взаимодействии агент формирует ссылку для подтверждения прав. Пользователь выбирает необходимые разрешения (scopes), после чего система генерирует временный код. Агент обменивает его на JWT access token со сроком действия 24 часа. Временное ограничение требует периодического повторения процедуры.
Шаг 4: Использование расширенных инструментов
Во время вызовов инструментов агент передает полученный JWT-токен. Сервер проверяет актуальность скоупов и блокирует несанкционированные действия. На сегодняшний день авторизованным ассистентам доступны следующие возможности:
- Поиск по каталогу с учетом фактического адреса доставки.
- Просмотр истории совершенных онлайн-заказов.
- Просмотр любимых продуктов и персональных скидок.
Актуальный перечень доступных функций обновляется на странице проекта, а программы могут запрашивать список через стандартные методы API.
Заключение
Текущий релиз представляет собой базовую реализацию безопасного взаимодействия ИИ-агентов с торговой платформой. В планах разработчиков значится внедрение мгновенного отзыва доступа, автоматического обновления токенов, расширение инструментария программы лояльности и запуск полноценной панели управления разрешениями.
