用途：为已具备 HTTP 版 ExMCP 的 Phoenix 应用叠加 OAuth 2.1 + PKCE 认证，把 MCP 的 API Key 认证替换为账户作用域的资源绑定。令牌绑定到单一 account 的 MCP URL，Inspector 从 RFC 9728 元数据发现授权服务器，GET 请求仍需 Bearer。
主要能力：新增 RFC 9728 受保护资源与 RFC 8414 授权服务器元数据路由、DCR 注册（/oauth/register）、授权端点（登录→同意→PKCE S256 授权码）、令牌端点（resource 必须匹配）、以及把 MCP 路由从 /mcp 迁移到 /accounts/:slug/mcp。作用域为 mcp:read、mcp:write、mcp:admin，互相独立。
前置条件：需先完成 /bootstrap-mcp 1.1 HTTP 栈、/boruta bootstrap、/bootstrap-accounts 与 phx.gen.auth 会话登录；缺少任一须先运行对应技能。
用法：按 Phase 0 至 Phase 5 顺序执行，先探测现有模块、issuer、账户查询与成员校验，再依次改配置与数据（oauth_tokens.resource、oauth_consents 唯一索引、oauth_rate_limits）、授权服务器、同意页、MCP 认证叠加、测试与客户端。生产要求 issuer 与 MCP URL 为 HTTPS，DCR 仅允许精确 URI，作用域与客户端通过 mix/release 预置，启动时不得创建共享 loopback 客户端，日志只记录 sub 与 account slug。
限制：不负责搭建 ExMCP HTTP 或通用 OAuth 提供者；仅支持 PKCE S256；/mcp 不接受 Cookie；访客返回通用 404 以免泄露账户存在性；生产环境不得使用 mcp:tools。资料未提供具体代码模板内容与官方定价信息。