⭐️DCR

Dynamic Client Registration（RFC 7591）。クライアントが実行時に自分を登録し、client_id をもらう。MCP はクライアントもサーバーも不特定多数なので、事前に手で登録できない。

POST /register
{ "redirect_uris": ["http://localhost:3000/callback"] }

→ { "client_id": "s6BhdRkqt3" }

redirect_uris は、手順 4 で認可コードを受け取る宛先。認可サーバーは登録済みの宛先にしか転送しないので、攻撃者のサーバーに認可コードを送らせることはできない。