인증 경계

각 credential의 위치

인증 경계는 OAuth 동의, bearer token 저장, 비밀이 아닌 identity header, 그리고 실제 접근 결정을 분리합니다. 이를 섞는 것이 token 유출의 가장 흔한 원인입니다.

• OAuth 동의는 client에 있으며, XMemo는 이 경로에서 붙여 넣은 token을 보지 않습니다.
• XMEMO_KEY는 환경 또는 지원되는 secret store에 두며, git에 commit한 config 파일에는 절대 넣지 않습니다.
• Identity header는 일반 label이며 config에 기록해도 안전합니다.
• Public discovery는 read-only이고 secret이 없습니다.

Token 기반 client 구성

실제 값이 파일에 나타나지 않도록 client config에서 환경 변수를 참조합니다.

{
  "mcpServers": {
    "XMemo": {
      "type": "http",
      "url": "https://xmemo.dev/mcp",
      "headers": {
        "Authorization": "Bearer ${env:XMEMO_KEY}"
      }
    }
  }
}

거부된 요청은 어떻게 보이는가

credential이 없거나 충분하지 않으면 memory를 읽기 전에 거부됩니다. 결과가 비어 있는 것은 유효한 불일치 응답이며 authorization 신호가 아닙니다.

401 — no valid bearer token or API key was supplied.
403 — the credential is valid but lacks memory:read or memory:write.
200 with zero results — authorized, nothing matched.