桌面客户端：一个连接访问多个服务

使用标准 OAuth 登录，逐个勾选服务、工具、提示词、资源和订阅；写请求默认关闭，启用后仍需逐次审批。当前组权限与每个服务授权共同约束调用，新增工具不会扩大已有授权。可在门户单独撤销服务授权，也可撤销整个连接。

mcpbridge login --native --server https://hub.example.com/mcp --profile work
mcpbridge connect --profile work

本机有浏览器时使用此流程。原生 MCP 客户端由管理员在「运维中心 → OAuth 客户端」注册回调地址，使用 PKCE 和标准 Bearer 凭证，无需自定义授权 Header。远程无浏览器 Agent 继续使用设备链接授权，每次设备配对授权一个服务；现有单服务客户端条目仍可使用。

远程或无浏览器 Agent 优先使用Agent 链接授权：在一个网页中登录并选择权限，或使用 --interactive-auth 提供认证工具。以下原有向导仍可使用。

几个名称的关系

Profile
本机登录和连接设置，如 work；默认 default。
客户端入口
生成的 ci_… ID，包含一个服务的授权工具和资源范围。
服务 / Endpoint
公司发布的一组业务工具，一个入口对应一个服务。
Broker
多个本机进程共享会话和登录续期，connect --client 按需启动。

多个服务与客户端

mcpbridge setup --profile work > projects-mcp.json
mcpbridge setup --profile work > tasks-mcp.json

每次选目标服务和工具，使用不同客户端名称，合并条目到客户端配置。不同 AI 客户端也建议单独建入口，方便撤销。

分开公司和身份

不同 MCPHub 地址或身份使用不同 profile。已有 profile 指向其他地址或 client ID 时，向导拒绝混用；创建新 profile，或明确重新登录：

mcpbridge setup --server https://other-hub.example.com/mcp --client-id mcpbridge --profile other-work > other-mcp.json

管理员登录 profile 与日常用户 profile 分开。

换电脑或系统账号

  1. 新环境安装连接器。
  2. 重新运行向导，登录并授权。
  3. 使用新生成的路径、MCPHUB_HOME 和入口 ID。
  4. 确认新连接后，在门户撤销不再使用的旧会话或入口。

个人上游账号服务端按用户保存，可能无需重连；新环境仍应建立自己的客户端入口。不要复制凭证目录迁移。

SSH、远程开发与容器

先确认客户端实际在哪里启动连接器。可执行文件、私有目录、Broker 和回调必须在执行环境可用，本机绝对路径不能直接用于远端。

缺少浏览器或无法接收回调时，请管理员确认支持的方案。授权链接应在能到达对应本机回调的环境打开。

管理本机连接服务

mcpbridge broker status
mcpbridge broker stop

停止 Broker 只停止本机连接，保留远端授权；再次 connect 按需启动。诊断可前台运行 broker run。更改 MCPHUB_HOME 时，相关进程必须使用同一目录。