MCP TypeScript 客户端 SDK：跨域重定向会带走密钥
GitHub 安全公告称：@modelcontextprotocol/sdk 1.31.0 及以前、client 2.0.0～2.2.0 的 HTTP 传输和 OAuth 请求会跟随跨域重定向，把自定义头和 307/308 下的请求体（含 refresh_token、client_secret）发给新域名。
github.com/advisories原始发布
为什么值得留
用 HTTP 或 SSE 连远程 MCP 服务的项目，今天就能查版本、升级，并判断要不要轮换密钥。
可以从这里开始
在项目里搜 @modelcontextprotocol/sdk 和 client 的锁定版本，低于 1.32.0 或 2.3.0 就升级。
阅读时留意
只覆盖 TypeScript SDK；stdio 客户端不受影响；是否真被利用取决于你连的服务器有没有跨域重定向，公告没有给出实际受害案例。
OnBalls 导读整理于 2026.10.23。只读收件箱保存的公告节选（含受影响版本与修复办法）；未打开公告页和对应提交。