开放 MCP 服务器 DCR 注册存在授权码劫持风险，redirect_uri 白名单待定

一位运营远程 MCP 服务器的开发者提出，开放 OAuth 动态客户端注册（DCR）可能让攻击者注册冒名客户端并劫持授权码，进而换取 token、冒充用户调用 MCP 工具。讨论聚焦生产环境是否应设置 redirect_uri 白名单或显示风险警告，并追问 localhost 与自定义 scheme 回调是否存在额外陷阱，具体结论仍待社区回复。