dsh-armory 1.9.4 → 2.0.0

package/lib/mcp-catalog.js

@@ -18,6 +18,11 @@
 //   category    见 mcp-config.js 的 MCP_CATEGORIES，市场按它分组。
 //   vendor      提供方。详情页显示，也用来区分官方与第三方。
 //   access      中文，如实说清免费额度与是否需要 Key。**不要美化**。
+//   auth        结构化鉴权标记，取值域见 `AUTH_KINDS`（'none' | 'apiKey' | 'oauth' |
+//               'oauth-or-pat'）。与 `access` 的分工：`access` 给人读，`auth` 给程序判——
+//               面板据此提前告诉用户「这条装不了」，而不是等连接失败了再猜。
+//   authNote    一句话说明「该怎么配」或「为什么装不了」。只在 auth !== 'none' 时写。
+//               可选：省略时面板只显示 auth 的通用文案。
 //   transport   'streamable-http' | 'stdio'。
 //   url/headers 仅 HTTP 型。
 //   command/args 仅 stdio 型。
@@ -35,6 +40,13 @@
 // ⚠️ 已知边界：DSH 的 mcp-client **不支持 OAuth 交互授权**（transport.ts 只传
 //    `requestInit.headers`，没有 authProvider）。所以只支持 OAuth、拿不到静态 Token 的
 //    远端服务在这个宿主里**用不了**，本目录不收录。`access` 字段如实标注每条要什么凭据。
+//
+// OPT-24：加结构化 `auth` 标记（枚举 AUTH_KINDS），补「access 只有自由文本」的缺口。
+//    为什么：`access` 写得再细也只有人读得到，面板没法据此判断「这条在当前宿主装不上」。
+//    OAuth-only 的条目装完只会得到一个连不上的连接，用户以为是插件的锅。有了这枚枚举，
+//    市场能在点击安装**之前**就把「需 OAuth、本宿主不支持」摊开说。
+//    判定依据仍是 `access` 原文（不凭服务名猜）；拿不准时选 'oauth-or-pat' 而非 'oauth'
+//    —— 误判成 oauth 会让用户以为装不了，代价比反过来大得多。
 
 /**
  * 分类的展示顺序（唯一真相源）。
@@ -71,6 +83,22 @@ export const CATEGORY_LABELS = {
   'comms': '通讯',
 }
 
+/**
+ * `auth` 字段的取值域（唯一真相源）。
+ *
+ * - `'none'`         无需任何凭据：本地 stdio、开源本地服务、免密公开 API。
+ * - `'apiKey'`       靠 API Key / Token / PAT / headers 注入即可用，`envKeys` 能承载。
+ * - `'oauth'`        **只能**走 OAuth 授权流程。本宿主（mcp-client 不支持 OAuth）完成不了，
+ *                    面板必须降级提示，不要给用户「点了安装就能用」的错觉。
+ * - `'oauth-or-pat'` 官方主推 OAuth，但存在可用的 PAT / 静态令牌替代路径。能装，但需引导
+ *                    用户走替代路径，别让他照着官方文档去点 OAuth 按钮。
+ *
+ * 为什么是这四个而不是布尔：`oauth` 与 `oauth-or-pat` 的处置**相反**（前者劝退、后者引导），
+ * 合成就没法表达。测试逐条断言 `MCP_CATALOG` 的 auth 属于这个集合。
+ * @type {ReadonlyArray<string>}
+ */
+export const AUTH_KINDS = ['none', 'apiKey', 'oauth', 'oauth-or-pat']
+
 /**
  * 目录条目。字段含义见文件头。
  *
@@ -86,6 +114,8 @@ export const MCP_CATALOG = [
     category: 'search',
     vendor: 'Exa',
     access: '免密可用（有限额）；可在 headers 加 x-api-key 提升额度',
+    auth: 'apiKey',
+    authNote: '免密信号是 headers 里的空 x-api-key（实测有限额）；填 EXA_API_KEY 换额度上限',
     transport: 'streamable-http',
     url: 'https://mcp.exa.ai/mcp',
     headers: { 'x-api-key': '!!js (process.env.EXA_API_KEY ?? "")' },
@@ -100,6 +130,7 @@ export const MCP_CATALOG = [
     category: 'search',
     vendor: 'Tavily',
     access: '免密模式免费有速率限制（响应与带 Key 完全一致）；官方免费 Key 为 1000 credits/月，无需信用卡',
+    auth: 'none',
     transport: 'streamable-http',
     url: 'https://mcp.tavily.com/mcp/',
     headers: { 'Authorization': '!!js "Bearer " + (process.env.TAVILY_API_KEY ?? "")', 'X-Tavily-Access-Mode': 'keyless' },
@@ -114,6 +145,9 @@ export const MCP_CATALOG = [
     category: 'search',
     vendor: 'Firecrawl',
     access: '免密可用（每日限额）；填 API Key 提升额度。需浏览器登录时改用 /v2/mcp-oauth',
+    // 判 apiKey 而非 none：headers 里装配的就是 `Bearer ${FIRECRAWL_API_KEY}`（空串），免密那条路
+    auth: 'apiKey',
+    authNote: '默认按免密模式发空 Bearer；填 FIRECRAWL_API_KEY 才走带 Key 模式',
     transport: 'streamable-http',
     url: 'https://mcp.firecrawl.dev/v2/mcp',
     headers: { 'Authorization': '!!js "Bearer " + (process.env.FIRECRAWL_API_KEY ?? "")' },
@@ -128,6 +162,8 @@ export const MCP_CATALOG = [
     category: 'search',
     vendor: 'Brave',
     access: '必须自备 Brave Search API Key（有免费档，超出需付费）',
+    auth: 'apiKey',
+    authNote: '必填 BRAVE_API_KEY，没有免密路径',
     transport: 'stdio',
     command: 'npx',
     args: ['-y', '@brave/brave-search-mcp-server', '--transport', 'stdio'],
@@ -142,6 +178,8 @@ export const MCP_CATALOG = [
     category: 'search',
     vendor: 'Perplexity',
     access: '需付费 Perplexity API Key（Bearer），无免密额度',
+    auth: 'apiKey',
+    authNote: '必填 PERPLEXITY_API_KEY（Bearer），无免密额度',
     transport: 'streamable-http',
     url: 'https://api.perplexity.ai/mcp',
     headers: { 'Authorization': '!!js "Bearer " + (process.env.PERPLEXITY_API_KEY ?? "")' },
@@ -155,6 +193,7 @@ export const MCP_CATALOG = [
     category: 'search',
     vendor: 'Google',
     access: '实验阶段免费、无需认证（实测 tools/list 返回 2 个文档检索工具）',
+    auth: 'none',
     transport: 'streamable-http',
     url: 'https://mapscodeassist.googleapis.com/mcp',
     homepage: 'https://developers.google.com/maps/ai/code-assist',
@@ -166,6 +205,7 @@ export const MCP_CATALOG = [
     category: 'search',
     vendor: 'Anthropic',
     access: '开源免费，无需任何 Key',
+    auth: 'none',
     transport: 'stdio',
     command: 'uvx',
     args: ['mcp-server-fetch'],
@@ -179,6 +219,9 @@ export const MCP_CATALOG = [
     category: 'dev',
     vendor: 'GitHub',
     access: '需 GitHub 账号并 OAuth 授权；也可用 PAT。功能权限随账号套餐',
+    // 置 oauth-or-pat 而非 oauth：PAT 是本宿主唯一走得通的路径，标成 oauth 会误导用户放弃安装
+    auth: 'oauth-or-pat',
+    authNote: '别走 OAuth：把 GITHUB_PERSONAL_ACCESS_TOKEN（PAT）配进来，Bearer 直连即可',
     transport: 'streamable-http',
     url: 'https://api.githubcopilot.com/mcp/',
     headers: { 'Authorization': '!!js "Bearer " + (process.env.GITHUB_PERSONAL_ACCESS_TOKEN ?? "")' },
@@ -192,6 +235,9 @@ export const MCP_CATALOG = [
     category: 'dev',
     vendor: 'GitLab',
     access: 'Free 及以上套餐可用；OAuth 动态注册授权，自建实例亦可｜⚠️ 静态 Token 方式未获官方确认（官方 MCP 文档只描述 OAuth/DCR；issue 586184 请求支持 PAT，官方回复不在近期路线图上），在 DSH 中可能无法授权',
+    // 判 oauth：官方明确 PAT 不在近期路线图（issue 586184），没有替代路径可引导
+    auth: 'oauth',
+    authNote: '只支持 OAuth 动态注册，静态 Token 未获官方支持，本宿主会卡在授权；装了也连不上',
     transport: 'streamable-http',
     url: 'https://gitlab.com/api/v4/mcp',
     homepage: 'https://docs.gitlab.com/user/model_context_protocol/mcp_server/',
@@ -203,6 +249,9 @@ export const MCP_CATALOG = [
     category: 'dev',
     vendor: 'Sentry',
     access: '需 Sentry 账号 OAuth 授权（可用免费档账号）',
+    // 判 oauth：access 只承诺 OAuth，没有像 GitHub 那样把 Token 写成等价路径
+    auth: 'oauth',
+    authNote: '官方只写 OAuth；若在 Sentry 设置里签发 SENTRY_AUTH_TOKEN 可试 Bearer 直连（未获文档保证）',
     transport: 'streamable-http',
     url: 'https://mcp.sentry.dev/mcp',
     headers: { 'Authorization': '!!js "Sentry-Bearer " + (process.env.SENTRY_AUTH_TOKEN ?? "")' },
@@ -216,6 +265,7 @@ export const MCP_CATALOG = [
     category: 'dev',
     vendor: 'Anthropic',
     access: '开源免费，仅操作本地仓库',
+    auth: 'none',
     transport: 'stdio',
     command: 'uvx',
     args: ['mcp-server-git', '--repository', '<仓库路径>'],
@@ -230,6 +280,7 @@ export const MCP_CATALOG = [
     category: 'dev',
     vendor: 'Oraios AI',
     access: '开源免费（MIT），本地运行；需先 uv tool install -p 3.13 serena-agent',
+    auth: 'none',
     transport: 'stdio',
     command: 'serena',
     args: ['start-mcp-server', '--context', 'ide', '--project-from-cwd'],
@@ -243,6 +294,7 @@ export const MCP_CATALOG = [
     category: 'dev',
     vendor: 'Anthropic',
     access: '开源免费，演示与测试用途',
+    auth: 'none',
     transport: 'stdio',
     command: 'npx',
     args: ['-y', '@modelcontextprotocol/server-everything'],
@@ -256,6 +308,8 @@ export const MCP_CATALOG = [
     category: 'dev',
     vendor: 'Windsurf',
     access: '开源免费；装了 Windsurf 会自动读取其 Key，没有才需自备 WINDSURF_API_KEY',
+    auth: 'apiKey',
+    authNote: '装了 Windsurf 会自动取 Key；否则填 WINDSURF_API_KEY',
     transport: 'stdio',
     command: 'npx',
     args: ['-y', 'fast-context-mcp'],
@@ -270,6 +324,7 @@ export const MCP_CATALOG = [
     category: 'security',
     vendor: 'jshookmcp',
     access: '开源免费（AGPL-3.0），本地运行；需 Node 22.12+。工具档位由环境变量 MCP_TOOL_PROFILE 控制（search ≈3K tokens / workflow / full ≈40K+），默认档已够用',
+    auth: 'none',
     transport: 'stdio',
     command: 'npx',
     args: ['-y', '@jshookmcp/jshook@latest'],
@@ -283,6 +338,7 @@ export const MCP_CATALOG = [
     category: 'security',
     vendor: 'mrexodia',
     access: '需本机已装 IDA Pro；服务本身按需拉取，无需预先 pip install',
+    auth: 'none',
     transport: 'stdio',
     command: 'uvx',
     args: ['--with', 'mcp<2', '--with', 'ida-pro-mcp', 'ida-pro-mcp'],
@@ -296,6 +352,7 @@ export const MCP_CATALOG = [
     category: 'security',
     vendor: 'dnakov',
     access: '开源免费（MIT），本地运行；需本机装 Frida 与被测目标。实测 uvx 启动并完成 initialize/tools/list 握手，enumerate_processes 可正常返回本机进程',
+    auth: 'none',
     transport: 'stdio',
     command: 'uvx',
     args: ['--with', 'mcp<2', '--with', 'frida-mcp', 'frida-mcp'],
@@ -309,6 +366,7 @@ export const MCP_CATALOG = [
     category: 'data',
     vendor: 't8y2',
     access: '开源免费，本地原生二进制；数据源在 DBX 应用里配置',
+    auth: 'none',
     transport: 'stdio',
     command: 'npx',
     args: ['-y', '@dbx-app/mcp-server'],
@@ -322,6 +380,8 @@ export const MCP_CATALOG = [
     category: 'data',
     vendor: 'Crystal DBA',
     access: '开源免费，需自备数据库连接串（DATABASE_URI）',
+    auth: 'apiKey',
+    authNote: '填 DATABASE_URI（数据库连接串，含口令）',
     transport: 'stdio',
     command: 'uvx',
     args: ['--with', 'mcp<2', 'postgres-mcp', '--access-mode=unrestricted'],
@@ -336,6 +396,7 @@ export const MCP_CATALOG = [
     category: 'data',
     vendor: 'Anthropic',
     access: '开源免费，只操作本地 .db 文件。注意：官方已归档，仅有维护性修复',
+    auth: 'none',
     transport: 'stdio',
     command: 'uvx',
     args: ['mcp-server-sqlite', '--db-path', '<数据库路径>'],
@@ -350,6 +411,8 @@ export const MCP_CATALOG = [
     category: 'data',
     vendor: 'Redis',
     access: '开源免费（MIT），需自备 Redis 实例',
+    auth: 'apiKey',
+    authNote: '填 REDIS_HOST / REDIS_PORT；实例要口令时一并给',
     transport: 'stdio',
     command: 'uvx',
     args: ['--from', 'redis-mcp-server@latest', 'redis-mcp-server', '--url', 'redis://localhost:6379/0'],
@@ -364,6 +427,8 @@ export const MCP_CATALOG = [
     category: 'data',
     vendor: 'ClickHouse',
     access: '开源免费，默认只读；需自备 ClickHouse 连接信息',
+    auth: 'apiKey',
+    authNote: '填 CLICKHOUSE_HOST / PORT / USER 与 CLICKHOUSE_PASSWORD',
     transport: 'stdio',
     command: 'uv',
     args: ['run', '--with', 'mcp-clickhouse', '--python', '3.12', 'mcp-clickhouse'],
@@ -379,6 +444,8 @@ export const MCP_CATALOG = [
     category: 'data',
     vendor: 'MongoDB',
     access: '开源免费（Apache-2.0），需自备连接串',
+    auth: 'apiKey',
+    authNote: '填 MDB_MCP_CONNECTION_STRING（含口令的连接串）',
     transport: 'stdio',
     command: 'npx',
     args: ['-y', 'mongodb-mcp-server@latest', '--readOnly'],
@@ -393,6 +460,9 @@ export const MCP_CATALOG = [
     category: 'data',
     vendor: 'Supabase',
     access: '需 Supabase 账号 OAuth 授权；支持 ?read_only=true 等参数收敛权限',
+    // 判 oauth：access 只承诺 OAuth，Token 那条路属于未文档化能力
+    auth: 'oauth',
+    authNote: '官方写的是 OAuth；有 SUPABASE_ACCESS_TOKEN 的话可试 Bearer 直连（未获文档保证）',
     transport: 'streamable-http',
     url: 'https://mcp.supabase.com/mcp',
     headers: { 'Authorization': '!!js "Bearer " + (process.env.SUPABASE_ACCESS_TOKEN ?? "")' },
@@ -406,6 +476,8 @@ export const MCP_CATALOG = [
     category: 'data',
     vendor: 'Neon',
     access: '需 Neon 账号 OAuth 或 API Key；可选只读模式与单项目限定',
+    auth: 'oauth-or-pat',
+    authNote: '官方主推 OAuth；改用 NEON_API_KEY 作 Bearer 即可直连',
     transport: 'streamable-http',
     url: 'https://mcp.neon.tech/mcp',
     headers: { 'Authorization': '!!js "Bearer " + (process.env.NEON_API_KEY ?? "")' },
@@ -419,6 +491,7 @@ export const MCP_CATALOG = [
     category: 'ai',
     vendor: 'regenrek',
     access: '完全免费，无需认证；本地进程抓取，与官方远端版功能重叠，按需选一个',
+    auth: 'none',
     transport: 'stdio',
     command: 'npx',
     args: ['-y', 'mcp-deepwiki@latest'],
@@ -432,6 +505,7 @@ export const MCP_CATALOG = [
     category: 'ai',
     vendor: 'Anthropic',
     access: '开源免费，数据存于本地文件',
+    auth: 'none',
     transport: 'stdio',
     command: 'npx',
     args: ['-y', '@modelcontextprotocol/server-memory'],
@@ -445,6 +519,7 @@ export const MCP_CATALOG = [
     category: 'ai',
     vendor: 'Anthropic',
     access: '开源免费，无需任何 Key',
+    auth: 'none',
     transport: 'stdio',
     command: 'npx',
     args: ['-y', '@modelcontextprotocol/server-sequential-thinking'],
@@ -458,6 +533,7 @@ export const MCP_CATALOG = [
     category: 'ai',
     vendor: 'Upstash',
     access: '免密可用；官网可领免费 API Key 提升速率上限',
+    auth: 'none',
     transport: 'streamable-http',
     url: 'https://mcp.context7.com/mcp',
     headers: { 'Authorization': '!!js "Bearer " + (process.env.CONTEXT7_API_KEY ?? "")' },
@@ -471,6 +547,7 @@ export const MCP_CATALOG = [
     category: 'ai',
     vendor: 'Cognition (Devin)',
     access: '完全免费，无需认证，仅访问公开仓库',
+    auth: 'none',
     transport: 'streamable-http',
     url: 'https://mcp.deepwiki.com/mcp',
     homepage: 'https://docs.devin.ai/work-with-devin/deepwiki-mcp',
@@ -482,6 +559,7 @@ export const MCP_CATALOG = [
     category: 'ai',
     vendor: 'Hugging Face',
     access: '免密可用基础工具；登录后可选用个人已配置的 App 与工具',
+    auth: 'none',
     transport: 'streamable-http',
     url: 'https://huggingface.co/mcp',
     headers: { 'Authorization': '!!js "Bearer " + (process.env.HF_TOKEN ?? "")' },
@@ -495,6 +573,7 @@ export const MCP_CATALOG = [
     category: 'ai',
     vendor: 'Blazick（社区维护，非 arXiv 官方）',
     access: '开源免费，无需 Key',
+    auth: 'none',
     transport: 'stdio',
     command: 'uvx',
     args: ['arxiv-mcp-server'],
@@ -508,6 +587,7 @@ export const MCP_CATALOG = [
     category: 'browser',
     vendor: 'Google',
     access: '开源免费，本地运行；需本机安装 Chrome',
+    auth: 'none',
     transport: 'stdio',
     command: 'npx',
     args: ['-y', 'chrome-devtools-mcp@latest'],
@@ -521,6 +601,7 @@ export const MCP_CATALOG = [
     category: 'browser',
     vendor: 'Microsoft',
     access: '开源免费（Apache-2.0），本地运行；需 Node.js 18+',
+    auth: 'none',
     transport: 'stdio',
     command: 'npx',
     args: ['-y', '@playwright/mcp@latest'],
@@ -534,6 +615,8 @@ export const MCP_CATALOG = [
     category: 'cloud',
     vendor: 'Cloudflare',
     access: '需 Cloudflare 账号 OAuth 授权；也可用 API Token 作 Bearer',
+    auth: 'oauth-or-pat',
+    authNote: '官方主推 OAuth；改用 CLOUDFLARE_API_TOKEN 作 Bearer 即可直连',
     transport: 'streamable-http',
     url: 'https://mcp.cloudflare.com/mcp',
     headers: { 'Authorization': '!!js "Bearer " + (process.env.CLOUDFLARE_API_TOKEN ?? "")' },
@@ -547,6 +630,7 @@ export const MCP_CATALOG = [
     category: 'cloud',
     vendor: 'Cloudflare',
     access: '免密可用，无需任何账号',
+    auth: 'none',
     transport: 'streamable-http',
     url: 'https://docs.mcp.cloudflare.com/mcp',
     homepage: 'https://developers.cloudflare.com/agents/model-context-protocol/mcp-servers-for-cloudflare/',
@@ -558,6 +642,8 @@ export const MCP_CATALOG = [
     category: 'cloud',
     vendor: 'Amazon Web Services',
     access: '开源免费；凭据取自本机 AWS 配置（~/.aws），需可访问 Bedrock',
+    auth: 'apiKey',
+    authNote: '凭据取自本机 ~/.aws，无需在此填 Key；账号需能访问 Bedrock',
     transport: 'stdio',
     command: 'uvx',
     args: ['mcp-proxy-for-aws@latest', 'https://aws-mcp.us-east-1.api.aws/mcp'],
@@ -571,6 +657,8 @@ export const MCP_CATALOG = [
     category: 'cloud',
     vendor: 'Red Hat / CNCF',
     access: '开源免费（Apache-2.0），使用本机 kubeconfig',
+    auth: 'apiKey',
+    authNote: '用本机 kubeconfig 的凭据，无需在此填 Key；集群需可连通',
     transport: 'stdio',
     command: 'npx',
     args: ['-y', 'kubernetes-mcp-server@latest'],
@@ -584,6 +672,7 @@ export const MCP_CATALOG = [
     category: 'cloud',
     vendor: 'Docker',
     access: '开源免费（MIT），需 Docker Desktop 或 docker CLI 插件',
+    auth: 'none',
     transport: 'stdio',
     command: 'docker',
     args: ['mcp', 'gateway', 'run'],
@@ -596,6 +685,9 @@ export const MCP_CATALOG = [
     category: 'cloud',
     vendor: 'Netlify',
     access: '需 Netlify 账号 OAuth 授权｜⚠️ 静态 Token 方式未获官方确认（官方文档的 NETLIFY_PERSONAL_ACCESS_TOKEN 是本地 stdio 包的环境变量，远端端点只文档化了 OAuth），在 DSH 中可能无法授权',
+    // 判 oauth：NETLIFY_PERSONAL_ACCESS_TOKEN 只对本地 stdio 包成立，远端端点拿不到替代路径
+    auth: 'oauth',
+    authNote: '远端端点只文档化了 OAuth，静态 Token 未获官方确认，本宿主会卡在授权；装了也连不上',
     transport: 'streamable-http',
     url: 'https://netlify-mcp.netlify.app/mcp',
     homepage: 'https://docs.netlify.com/build/build-with-ai/netlify-mcp-server/',
@@ -607,6 +699,8 @@ export const MCP_CATALOG = [
     category: 'productivity',
     vendor: 'Linear',
     access: '需 Linear 账号 OAuth；只读可用 https://mcp.linear.app/mcp/readonly',
+    auth: 'oauth',
+    authNote: '官方写的是 OAuth；LINEAR_API_KEY 作 Bearer 未见文档支持，装了大概率连不上',
     transport: 'streamable-http',
     url: 'https://mcp.linear.app/mcp',
     headers: { 'Authorization': '!!js "Bearer " + (process.env.LINEAR_API_KEY ?? "")' },
@@ -620,6 +714,8 @@ export const MCP_CATALOG = [
     category: 'productivity',
     vendor: 'Atlassian',
     access: '有免费档（无需信用卡）；需 Atlassian 账号 OAuth 授权',
+    auth: 'oauth',
+    authNote: '官方写的是 OAuth；ATLASSIAN_API_TOKEN 作 Bearer 未见文档支持，装了大概率连不上',
     transport: 'streamable-http',
     url: 'https://mcp.atlassian.com/v2/mcp',
     headers: { 'Authorization': '!!js "Bearer " + (process.env.ATLASSIAN_API_TOKEN ?? "")' },
@@ -633,6 +729,8 @@ export const MCP_CATALOG = [
     category: 'productivity',
     vendor: 'Airtable',
     access: '全部套餐可用（含免费档）；需 Airtable OAuth 授权',
+    auth: 'oauth',
+    authNote: '官方写的是 OAuth；AIRTABLE_TOKEN 作 Bearer 未见文档支持，装了大概率连不上',
     transport: 'streamable-http',
     url: 'https://mcp.airtable.com/mcp',
     headers: { 'Authorization': '!!js "Bearer " + (process.env.AIRTABLE_TOKEN ?? "")' },
@@ -646,6 +744,7 @@ export const MCP_CATALOG = [
     category: 'productivity',
     vendor: 'Microsoft',
     access: '完全免费，无需认证、无需账号',
+    auth: 'none',
     transport: 'streamable-http',
     url: 'https://learn.microsoft.com/api/mcp',
     homepage: 'https://learn.microsoft.com/en-us/training/support/mcp',
@@ -657,6 +756,7 @@ export const MCP_CATALOG = [
     category: 'productivity',
     vendor: 'Anthropic',
     access: '开源免费，纯本地计算',
+    auth: 'none',
     transport: 'stdio',
     command: 'uvx',
     args: ['mcp-server-time'],
@@ -670,6 +770,7 @@ export const MCP_CATALOG = [
     category: 'files',
     vendor: 'Anthropic',
     access: '开源免费，仅能访问命令行中显式授权的目录',
+    auth: 'none',
     transport: 'stdio',
     command: 'npx',
     args: ['-y', '@modelcontextprotocol/server-filesystem', '<允许访问的目录>'],
@@ -684,6 +785,9 @@ export const MCP_CATALOG = [
     category: 'comms',
     vendor: 'Slack',
     access: '需先自建 Slack App 并走一次 OAuth 换出 xoxp- 用户令牌，再把该令牌配到这里；令牌本身可长期复用',
+    // 判 oauth-or-pat：OAuth 只发生在建 App 那一次，落到本宿主的是可长期复用的静态令牌
+    auth: 'oauth-or-pat',
+    authNote: '先在 Slack 建 App 走一次 OAuth 换出 xoxp- 用户令牌，填 SLACK_USER_TOKEN 即可长期复用',
     transport: 'streamable-http',
     url: 'https://mcp.slack.com/mcp',
     headers: { 'Authorization': '!!js "Bearer " + (process.env.SLACK_USER_TOKEN ?? "")' },

package/lib/mcp-config.js

@@ -26,10 +26,14 @@ export const BUILTIN_MCP_SERVERS = MCP_CATALOG.map((entry) => {
     label: entry.label,
     summary: entry.summary,
     access: entry.access,
+    // OPT-24：`auth` 是给面板判断「当前宿主装不装得上」的展示元数据，不是配置字段——
+    // `builtinSpec()` 只挑 MANAGED_CONFIG_FIELDS、`makeEntry()` 只挑固定字段表，两者都
+    // 不会带它，所以它和 authNote 落不进用户配置文件，mcp-client 收不到不认识的键。
+    auth: entry.auth,
     name: entry.id,
     transport: entry.transport,
   }
-  for (const field of ['url', 'headers', 'command', 'args']) {
+  for (const field of ['url', 'headers', 'command', 'args', 'authNote']) {
     if (entry[field] !== undefined) server[field] = structuredClone(entry[field])
   }
   return server
@@ -552,6 +556,11 @@ export function builtinMcpCatalog(effectiveServers) {
       label: builtin.label,
       summary: builtin.summary,
       access: builtin.access,
+      // OPT-24：`auth` 走 builtin（BUILTIN_MCP_SERVERS 已投影），面板据此降级提示
+      // oauth 条目；`authNote` 只在存在时挂键——`none` 条目根本没有这个字段，补成空串
+      // 会让面板分不清「没有说明」和「说明是空的」。
+      auth: builtin.auth,
+      ...(builtin.authNote !== undefined ? { authNote: builtin.authNote } : {}),
       name: builtin.name,
       transport: builtin.transport,
       configuration: builtinSpec(builtin),