Cloudflare近日为其OAuth服务新增了可选权限范围（optional OAuth scopes）功能，允许客户端所有者标记哪些权限用户可以在授权同意环节主动取消。这一更新主要面向MCP（Model Context Protocol）服务器场景，因为AI代理在发起请求时会合并所有可能用到的权限，导致用户面临不必要的过度授权。
在传统的OAuth授权流程中，用户面对权限列表时通常只能全盘接受或完全拒绝。Cloudflare此次引入的机制改变了这一模式：开发者可以指定某些权限为“可选”，用户在授权时有权取消这些非核心权限，而不影响整体授权流程的完成。这一设计在保留核心功能所需权限的同时，给予终端用户更大的控制权。
Cloudflare在官方公告中将MCP服务器列为主要推动场景。随着AI代理与外部工具交互日益频繁，代理往往请求其可能执行的所有操作的权限合集，这导致权限请求范围远超实际所需。通过引入可选权限范围，开发者可以在不影响代理核心功能的前提下，允许用户剔除那些仅在特定情况下才会用到的权限，从而降低安全风险。
行业观察人士指出，部分同意机制并非全新概念，部分平台此前已支持用户对权限进行选择性授权。但Cloudflare此次更新的差异化之处在于，它将“哪些权限可被取消”的决定权交给了开发者，而非由用户在授权页面自行判断。这一粒度控制能力在现有OAuth实现中尚属首创，可能对AI应用生态的权限管理实践产生示范效应。
该功能现已向Cloudflare开发者开放。随着AI代理驱动的自动化工作流在企业中加速落地，如何在功能完整性与用户隐私保护之间取得平衡，正在成为身份认证与授权基础设施提供商需要共同面对的核心议题。Cloudflare此举或将为行业提供一种可复用的权限治理范式。
该文观点仅代表作者本人，企服科学平台仅提供信息存储空间服务。
