[Feature] dsh-mcp-client 缺少 OAuth 支持，无法接入需要 OAuth 2.1 的远程 MCP 服务器

[huangminzhe321-art]

问题

@deepseek-ai/dsh-mcp-client 目前无法接入需要 OAuth 2.1 + PKCE 鉴权的远程 MCP 服务器，只能靠静态 header。

证据

1. 传输构造时从不传 authProvider

dsh-mcp-client/lib/index.js 第 46 行是全包唯一的 Streamable HTTP 传输构造点：

case "streamable-http": return new StreamableHTTPClientTransport(
  new URL(config.url), { requestInit: { headers: config.headers } });

SDK 要求通过 authProvider 传入 OAuthClientProvider，这里没有传，也没有任何代码路径构造它。

对该包全文计数认证相关标识符，全部为 0：
authProvider、OAuthClientProvider、oauth、finishAuth、redirectUrl、clientMetadata。

2. 配置 schema 无任何认证字段

同文件 791–800 行，streamable-http 分支穷尽只有 8 个字段：
transport、serverName、url、headers、toolCallTimeoutMs、failOnStartupError、maxInstructionBytes、reconnect。

3. 打包的 SDK 其实已完整支持 OAuth

@modelcontextprotocol/client@2.0.0 内含完整实现：registerClient（RFC 7591 DCR）、
discoverOAuthProtectedResourceMetadata、startAuthorization、exchangeAuthorization、
refreshAuthorization，并导出 OAuthClientProvider / UnauthorizedError。
也就是说能力已在依赖树里，只是未被 DSH 接线。

复现

目标服务器：https://mcp.scys.com/shengcai-web/mcp（生财有术 MCP）

未认证请求正确返回 401 挑战：

POST /shengcai-web/mcp
401
WWW-Authenticate: Bearer resource_metadata="https://mcp.scys.com/.well-known/oauth-protected-resource", scope="mcp"

服务端元数据齐全且合规：

GET https://mcp.scys.com/mcp-oauth/.well-known/oauth-authorization-server
{
  "issuer": "https://mcp.scys.com/mcp-oauth",
  "authorization_endpoint": ".../authorize",
  "token_endpoint": ".../token",
  "registration_endpoint": ".../register",     // RFC 7591 DCR
  "grant_types_supported": ["authorization_code", "refresh_token"],
  "token_endpoint_auth_methods_supported": ["none"],   // public client
  "code_challenge_methods_supported": ["S256"]         // 强制 PKCE
}

配置后 DSH 启动时连接失败（401），因为没有任何机制完成授权。

建议

1. 让 dsh-mcp-client 透传 authProvider（SDK 已就绪，改动应较小）；
2. 内置 loopback 回调 + PKCE 交换，或提供等价的结构化认证入口；
3. 建议配置形态（草案）：

   - id: mcp-scys
     name: '@deepseek-ai/dsh-mcp-client'
     config:
       serverName: scys
       transport: streamable-http
       url: https://mcp.scys.com/shengcai-web/mcp
       auth: oauth          # 新增：oauth | header

参考实现

Hermes Agent v0.21.3 已完整实现该能力，可作为参考：
tools/mcp_oauth.py（约 65 KB）——覆盖发现、DCR、PKCE、loopback 回调监听、
令牌落盘与自动刷新，并支持 device flow 回退。

环境

• DeepSeek Harness desktop 0.2.0-rc.2
• @deepseek-ai/dsh-mcp-client@0.2.0-rc.2
• @modelcontextprotocol/client@2.0.0
• Windows 11 (win32 x64)