feat: adds OAuth/OIDC authentication for MCP

README.md

@@ -6,7 +6,7 @@
 
 - `api`: FastAPI, REST API, HTML-админка, healthcheck.
 - `worker`: weekly scheduler, который запускает парсинг по `CRAWL_CRON`.
-- `mcp`: HTTP MCP endpoint с bearer token.
+- `mcp`: HTTP MCP endpoint со статическим bearer token или OAuth/OIDC access token.
 - `postgres`: основная БД.
 
 Парсер использует фиксированный источник сотрудников, по умолчанию `https://miem.hse.ru/persons`. Для каждой карточки сохраняются ФИО, должности, год начала работы, контакты, идентификаторы, вкладки профиля, секции, публикации, курсы, ВКР, JSON-снапшот и сжатый HTML-снапшот. Ссылки обходятся только из меню профиля самого сотрудника (`person-menu`), например `#sci`, `#teaching`, `#main`.
@@ -27,7 +27,13 @@ cp .env.example .env
 - `CRAWL_LIMIT`: опциональный лимит профилей для тестового запуска.
 - `ADMIN_USERNAME`, `ADMIN_PASSWORD`: логин и пароль админки.
 - `SESSION_SECRET`: секрет подписи cookie.
-- `MCP_TOKEN`: bearer token для `/mcp`.
+- `MCP_TOKEN`: статический bearer token для `/mcp`.
+- `MCP_AUTH_MODE`: режим авторизации MCP: `token`, `oauth` или `oauth_or_token`.
+- `MCP_RESOURCE_URL`: публичный URL MCP endpoint, например `https://example.com/mcp`.
+- `MCP_OAUTH_ISSUER`: issuer внешнего OIDC-провайдера.
+- `MCP_OAUTH_AUDIENCE`: ожидаемый `aud` в OAuth access token.
+- `MCP_OAUTH_JWKS_URL`: JWKS endpoint; если не задан, используется `<issuer>/.well-known/jwks.json`.
+- `MCP_OAUTH_REQUIRED_SCOPE`: scope для доступа к MCP tools, по умолчанию `mcp:tools`.
 - `PARSER_USE_PLAYWRIGHT`: включение Playwright-рендера динамических вкладок.
 
 ## Локальный запуск
@@ -82,7 +88,9 @@ curl -X POST http://localhost:8000/api/crawl-runs --cookie "miem_admin_session=.
 
 ## MCP
 
-Endpoint: `POST /mcp`, авторизация `Authorization: Bearer <MCP_TOKEN>`.
+Endpoint: `POST /mcp`, авторизация `Authorization: Bearer <token>`.
+
+По умолчанию используется статический токен из `MCP_TOKEN`:
 
 Поддерживаемые tools:
 
@@ -101,6 +109,19 @@ curl http://localhost:8001/mcp \
   -d '{"jsonrpc":"2.0","id":1,"method":"tools/list","params":{}}'
 ```
 
+Для OAuth/OIDC настройте внешний authorization server и включите режим `oauth` или `oauth_or_token`:
+
+```env
+MCP_AUTH_MODE=oauth_or_token
+MCP_RESOURCE_URL=https://example.com/mcp
+MCP_OAUTH_ISSUER=https://auth.example.com
+MCP_OAUTH_AUDIENCE=miem-mcp
+MCP_OAUTH_JWKS_URL=https://auth.example.com/.well-known/jwks.json
+MCP_OAUTH_REQUIRED_SCOPE=mcp:tools
+```
+
+MCP server работает как OAuth protected resource: он не выдает токены, а проверяет JWT access token по JWKS, `issuer`, `audience`, сроку действия и scope. Metadata для MCP-клиентов доступна по `GET /.well-known/oauth-protected-resource`.
+
 ## Обслуживание
 
 ```bash
@@ -110,4 +131,4 @@ docker compose exec postgres pg_dump -U miem miem_workers > backup.sql
 docker compose down
 ```
 
-Версия сервиса: `0.2.8`. Админка всегда показывает версии backend и frontend в footer.
+Версия сервиса: `0.3.0`. Админка всегда показывает версии backend и frontend в footer.