认证边界

每种凭据应放在哪里

认证边界区分 OAuth 同意、bearer token 存储、非机密 identity header 与实际访问决策。把它们混在一起是 token 泄露最常见的原因。

• OAuth 同意发生在客户端；在这条路径上 XMemo 不会看到粘贴的 token。
• XMEMO_KEY 应放在环境或受支持的 secret store 中，绝不要放进已提交到 git 的配置文件。
• Identity header 只是普通标签，可以安全地写入配置。
• 公共 discovery 只读且不包含 secret。

基于 token 的客户端配置

在客户端配置中引用环境变量，使真实值永远不会出现在文件里。

{
  "mcpServers": {
    "XMemo": {
      "type": "http",
      "url": "https://xmemo.dev/mcp",
      "headers": {
        "Authorization": "Bearer ${env:XMEMO_KEY}"
      }
    }
  }
}

被拒绝的请求是什么样

缺少凭据或凭据权限不足时，请求会在读取任何 memory 之前被拒绝。空结果集是有效的无匹配响应，不代表授权信号。

401 — no valid bearer token or API key was supplied.
403 — the credential is valid but lacks memory:read or memory:write.
200 with zero results — authorized, nothing matched.