stdio 服务器由客户端拉起，常见做法是环境变量里放 API 密钥。这不是 OAuth，只是进程环境。
远程 MCP 走 HTTP 或 SSE 时，对方可能要求 OAuth：浏览器登录、拿到访问令牌、再带令牌调工具。过期和刷新以该服务文档为准。
最小权限：只勾只读范围，生产密钥不要进 mcp.json。共享电脑上用完就撤授权。
连不上时先分清是进程没起来，还是远程返回 401。本站“本地 vs 远程 MCP”和“连不上怎么排查”可对照。
MCP 鉴权与 OAuth 入门
本地 stdio 靠本机环境变量；远程 HTTP 端点才谈得上 OAuth。不要把令牌写进仓库。