MCP TypeScript 客户端 SDK 跟随跨源重定向重发请求头与请求体，已在 1.32.0 和 2.3.0 修复
MCP TypeScript client SDK: HTTP client transports and OAuth requests followed cross-origin redirects and re-sent custom headers and request bodies
AI 导读
GitHub 安全公告披露 MCP TypeScript 客户端 SDK 的 HTTP 传输与 OAuth 请求会跟随指向任意源的重定向，使目标源收到自定义请求头（如通过 requestInit.headers 设置的 X-API-Key）和 mcp-session-id 头。受影响版本为 @modelcontextprotocol/sdk 1.32.0 之前的所有版本，以及 @modelcontextprotocol/client 2.0.0 至 2.3.0 之前的版本；使用 StreamableHTTPClientTransport、SSEClientTransport 或 auth() 等 OAuth 客户端函数的应用会受影响，stdio 客户端不受影响。
推荐理由
公告说明了哪些 MCP 客户端配置会把自定义请求头和请求体跨源泄露，并给出升级、密钥轮换与临时规避的具体做法。