Où chaque identifiant a sa place
La limite d'authentification sépare le consentement OAuth, le stockage des jetons porteurs, les en-têtes d'identité non secrets et la décision d'accès elle-même. Les mélanger est la cause la plus fréquente de fuite de jeton.
- Le consentement OAuth réside dans le client ; XMemo ne voit jamais de jeton collé sur ce chemin.
- XMEMO_KEY réside dans l'environnement ou un magasin de secrets pris en charge, jamais dans un fichier de configuration validé dans git.
- Les en-têtes d'identité sont de simples étiquettes et peuvent être écrits en toute sécurité dans la configuration.
- La découverte publique est en lecture seule et exempte de secrets.
Configuration du client basée sur les jetons
Référencez la variable d'environnement depuis la configuration du client afin que la valeur réelle n'apparaisse jamais dans le fichier.
{
"mcpServers": {
"XMemo": {
"type": "http",
"url": "https://xmemo.dev/mcp",
"headers": {
"Authorization": "Bearer ${env:XMEMO_KEY}"
}
}
}
}À quoi ressemble une requête rejetée
Un identifiant manquant ou insuffisant est rejeté avant toute lecture de mémoire. Un ensemble de résultats vide est une réponse valide sans correspondance et ne constitue pas un signal d'autorisation.
401 — no valid bearer token or API key was supplied.
403 — the credential is valid but lacks memory:read or memory:write.
200 with zero results — authorized, nothing matched.Contrôles de la console de mémoire
XMemo n'est pas seulement un point de terminaison MCP. La Memory Console est l'espace utilisateur pour examiner, corriger, supprimer et exporter la mémoire tout en gardant l'attribution des agents visible.
- Consulter et rechercher dans la mémoire — Ouvrez la console pour consulter les mémoires enregistrées, examiner les chemins et types de mémoire, et confirmer si un rappel aurait dû renvoyer un élément particulier.
- Modifier ou corriger des entrées — Corrigez les informations obsolètes, déplacez les éléments vers des chemins plus clairs ou remplacez les notes dépassées afin que les futurs assistants rappellent le contexte le plus récent validé par l'utilisateur.
- Supprimer et exporter — Utilisez les parcours du compte pour supprimer les mémoires dont vous ne voulez plus et repérer les chemins d'exportation pour l'examen de la mémoire au niveau du compte.
Source : Sécurité publique