云原生智能网关 通过 AI 网关实现 WorkBuddy 以 OAuth 2.0 授权码模式访问存量 HTTP 业务系统

一、操作场景

·参数改写：网关默认不校验令牌，仅将调用方的认证 Header 按规则改写后转发给后端 HTTP 服务，由后端完成令牌签名校验。适用于后端使用私有认证头（如 X-Auth-Token）的场景。

·网关验签（可选）：开启后，网关对 MCP 请求统一校验调用方令牌，未携带令牌或令牌无效时由网关直接返回 401 挑战，使 OAuth 授权流程在建立连接阶段即被触发，并避免未授权的调用方获取工具清单。

注意：说明：

注意：授权码流程中的登录授权、换取 Token、Token 刷新均由 MCP 客户端（如 WorkBuddy 企业版连接器）与你的 IdP 完成，AI 网关不签发 Token，不提供 /authorize、/token 端点。

二、前提条件

·已创建 AI 网关实例。

·已将存量 HTTP 业务系统接入为 MCP 服务的后端服务。参数改写仅支持 HTTP 转 MCP 服务。

·后端 HTTP 服务已具备 OAuth 2.0 Access Token 校验能力（如基于 JWKS 或 Introspection 校验）。

·如需开启网关验签，需提前获取 IdP 的 Issuer、JWKS 地址，或 Introspection 端点及其客户端凭据。

三、步骤1：配置参数改写

1. 登录 AI 网关控制台，单击目标实例 ID，进入实例详情页。

2. 新建 HTTP 转 MCP 服务，在基本信息步骤中找到参数改写，开启开关。

3. 在 Header 参数 分组中，单击添加，配置改写规则：

·操作类型：选择重命名（必填）。

·源 Header：调用方请求中携带令牌的 Header 名，如 Authorization（必填）。

·目标 Header：转发至后端时使用的 Header 名，如 X-Auth-Token（必填）。

4. 如需配置多条规则，重复单击添加，最多可添加 20 条。

5. 完成其余配置后提交，参数改写随服务创建生效。

6. 服务创建后，可在服务详情页的基本信息页签查看参数改写配置。

注意：说明：

注意：标准 MCP 服务不支持参数改写。标准 MCP 服务默认原样透传请求头。

四、步骤2：开启网关验签

1. 在 MCP 服务详情页，单击访问控制页签。

2. 开启网关验签开关，并填写以下参数：

3. 选择令牌校验方式：

·JWT + JWKS（推荐）：网关拉取公钥在本地验签，需填写 Issuer、JWKS 地址。

·Introspection：适用于不透明令牌，需填写 Introspection 端点、Introspection Client ID / Secret。

4. 按需填写 Audience、Scope 白名单、Token 来源 Header 等选填参数，详见下表。

5. 保存配置。

注意：说明：

五、步骤3：在 WorkBuddy 企业版中创建连接器

以 WorkBuddy 企业版为例，企业管理员在 Connector 管理 页面单击右上角新建连接器，按向导完成配置：

1. 基础信息：填写标识、显示名称、描述等。

2. 认证凭证：认证方式选择 OAuth 2.0 (Authorization Code)，填写 IdP 提供的 Client ID、Client Secret、Authorization URL、Token URL、Scopes 等；并将页面底部展示的 Redirect URL 添加到 IdP 的回调白名单。

3. MCP 服务端：MCP Server URL 填写 AI 网关 MCP 服务的访问地址。

连接器启用后，员工首次访问该服务时会收到授权引导，在浏览器中登录 IdP 并同意授权后，即可通过 Agent 调用存量 HTTP 系统。详情请参见 WorkBuddy 企业版 Connector 管理。