Better-auth: универсальная авторизация для агентов

Наткнулся на интересный открытый фреймворк для авторизации, который подходит в том числе и для ИИ агентов и для MCP инструментов.

🎯 Обычно, агенту, который читает почту, выдают тот же токен, что и человеку.
Отзывать его накладно, ограничивать дополнительно, - сложно или невозможно вообще, а в журнале при этом он выглядит или как обычный системный или вообще как учётка обычного пользователя.

Better-auth даёт агенту собственную личность: срок, права и след.

🔑 Сервис описывает действия: что на входе и выходе. Агент читает это описание по известному адресу и говорит, чего хочет. Потом ждёт. Человек подтверждает запрос кодом или отпечатком пальца - поддерживаются все популярные типы аутентификации.

Агент получает токен на ограниченное время, например на десять минут и только под этот сервис или действия.
Есть защита от повторных запросов и журналирование.

🔌 MCP-сервера поддерживают через такую же механику: приложение само выдаёт токены.
Клиент не регистрируется вручную: он держит файл с описанием на своём сайте, сервер читает оттуда.
Токен выдан под конкретный сервер, поэтому украденный токен бесполезен.

🧩 Остальное привычно: пароль, соцсети, вход из консоли, OIDC и отзыв. Потолок прав машинному клиенту задаёт администратор.
MIT, 30,6 тыс. звёзд, версия 1.7.15.

💡 Польза для нас в том, что не нужно писать свой слой авторизации для агентов и объяснять безопасникам, почему бот ходит под чужой учёткой.
Но есть ограничения: библиотека работает только с TypeScript, а стандарт Agent Auth ещё в процессе доработок.

Изучаем, забираем тут:
https://github.com/better-auth/better-auth
https://better-auth.com/docs/plugins/agent-auth

#MCP #OAuth #betterauth #OpenSource #агенты
–––
@tsingular