claude.ai 與 ChatGPT 連接器

管理員位置： System › Settings › API & AI agents (/agent/keys)，分頁 Connected apps。當連接器要求存取權限時，授權畫面會開啟於 /agent/consent（該項目不在選單中）。

功能

網頁版 AI 應用程式無法讀取磁碟中的金鑰。它們透過 OAuth 連線：您加入面板的 MCP URL，應用程式會將您導向至您自己的管理員頁面以進行登入，接著您可選擇應用程式的執行權限與時效，應用程式隨後便會收到短期金鑰。無需複製或貼上任何金鑰，且您可隨時中斷應用程式的連線。

適用於 claude.ai 自訂連接器、ChatGPT 開發者模式連接器，以及任何支援具有動態用戶端註冊功能 OAuth 的其他 MCP 用戶端。命令列工具也可使用相同的流程，但對它們而言，使用 admin API key 會更為簡便。

需求

項目	需求
URL	https://cloud.example.com/mcp/admin，須可自網際網路存取（供應商的伺服器會連線至此）。
反向代理伺服器	如果您在面板前方放置自己的代理伺服器，它必須將 /mcp/admin、/oauth-admin/ 以及 /.well-known/ 路徑轉發至面板。
您	請使用您用來開啟授權畫面的相同瀏覽器登入 NexCMP 管理員。
客戶端	支援透過 Streamable HTTP 的 MCP、採用 PKCE (S256) 的 OAuth 2.1 以及動態用戶端註冊。

連線

1. 在 AI 應用程式中，加入自訂 MCP 連接器並貼上 https://cloud.example.com/mcp/admin。在 claude.ai 中，這項設定位於連接器設定底下（加入自訂連接器）；在 ChatGPT 中則位於開發者模式底下（加入 MCP 連接器，驗證方式選 OAuth）。
2. 在應用程式中選擇 Sign in（或「Connect」）。您的瀏覽器將會開啟 NexCMP 管理員授權畫面。若您尚未登入，請先登入；畫面將在登入後繼續執行。
3. 讀取卡片內容：「Example AI app 想要管理此 NexCMP admin」（即提出要求的應用程式名稱），以及您將被導回的位址。
4. 勾選要授權的範圍。應用程式要求的項目會預先勾選；若未要求任何項目，則僅會勾選 admin:read。請參閱 Scopes。
5. 選擇連線持續的時間：7、30 或 90 天（預設為 30 天）。
6. 點擊 Allow。瀏覽器將返回應用程式，此時已完成連線。點擊 Deny 則可拒絕。

::: important 像管理金鑰一樣選擇範圍 授予剛好夠用的最小權限集。金錢、刪除和安全性操作仍會在預覽階段暫停並需要您的批准，但擁有 settings:write 的連線仍然可以變更您的品牌與電子郵件設定。 :::

管理與撤銷

開啟 System › Settings › API & AI agents › Connected apps。該表格會列出您連線過的所有應用程式：應用程式名稱、範圍、連線時間、到期時間以及最後使用時間。

若要中斷應用程式的連線，請點擊 Revoke 並確認。其憑證將立即失效；應用程式必須重新通過授權畫面才能再次連線。

流程運作方式

步驟	Detail
探索	應用程式會讀取 /.well-known/oauth-protected-resource/mcp/admin，接著讀取 /.well-known/oauth-authorization-server/oauth-admin。發行者為 https://cloud.example.com/oauth-admin。
註冊	應用程式會自行註冊（POST /oauth-admin/register，RFC 7591）。僅支援公開用戶端（無用戶端密鑰）。重新導向位址必須是 https，或在同一部電腦上時為 http（loopback）。
授權	GET /oauth-admin/authorize，採用 PKCE 方法 S256。傳送 resource 參數時，必須為此面板的 /mcp/admin URL。此要求有效期限為 10 分鐘，且繫結至發起要求的瀏覽器。
授權	您選擇範圍與期限（如上）。授權碼有效時間為 60 秒且僅能使用一次。
權杖	POST /oauth-admin/token 會傳回 存取權杖（一個 ak_o... 金鑰，有效時間 1 小時或直到連線結束，以較早者為準）與 重新整理權杖（akr_...）。每次重新整理都會傳回新的重新整理權杖；舊的將停止運作。連線將於您選擇的天數後結束。
撤銷	在「已連線應用程式」中點選 Revoke，或由應用程式呼叫 POST /oauth-admin/revoke（RFC 7009）。

存取權杖的行為如同具備您所授與範圍的管理員金鑰：遵循相同的範圍規則、確認、速率限制與活動記錄。其呼叫會顯示在 Activity 標籤頁中。

驗證

1. 在應用程式中詢問「run system_health」（或「what tools do you have?」）。應用程式會列出您的範圍所允許的工具（the tool list）。
2. 開啟 Connected apps：Last used 會更新。
3. 開啟 Activity：呼叫記錄會列出應用程式名稱與 mcp。

限制與注意事項

• 若應用程式在一小時後再次要求登入，當客戶端未進行重新整理時這是正常現象；請重新連線。
• 若重新整理權杖被使用兩次將被視為遭竊：整個連線將被撤銷。請從應用程式重新連線。
• 使用兩次的授權碼將遭到拒絕（invalid_grant），且從該授權碼發出的權杖也將被撤銷。
• OAuth 存取權絕對不會超過範圍規則所允許的權限：what a key can never do 的限制同樣適用於已連線的應用程式。
• 供應商會變更其選單與支援的功能。若供應商的應用程式在您的方案中不提供自訂連接器，請改用 admin API key 搭配桌面或命令列客戶端。

故障排除

症狀	原因	修正方式
同意畫面顯示「瀏覽器錯誤」	發起請求的瀏覽器與您目前登入的瀏覽器不同	請在同一個瀏覽器中從 AI 應用程式重新開始連線。
同意畫面顯示請求已過期或遺失	已超過 10 分鐘，或連結已被開啟兩次	請從 AI 應用程式重新開始連線。
出現「未知客戶端」或「重新導向地址不符」頁面	應用程式註冊已過期，或使用了未註冊的重新導向地址	請在應用程式中移除連接器並重新新增。
invalid_target	傳送的 resource 並非此面板的 /mcp/admin URL	請使用 Connect an AI 標籤頁上顯示的正確 URL。
invalid_request 關於 PKCE	客戶端未傳送 code_challenge_method=S256	請使用支援具備 PKCE 之 OAuth 2.1 的客戶端。
應用程式已連線但呼叫傳回 insufficient_scope	您未勾選該範圍	請撤銷連線並重新連線且勾選該範圍。
應用程式無法連線至 URL	DNS、TLS 或反向代理伺服器封鎖了 /mcp/admin、/oauth-admin/ 或 /.well-known/	請檢查代理伺服器規則。