用途：管理 GBrain 现有服务器的 MCP 访问，包括所有者仪表盘登录、MCP 客户端注册与权限调整，以及原生 OAuth 客户端连接。管理现有服务器无需本地 brain 初始化或个人智能体引导。
主要能力：所有者命令通过 gbrain mcp admin … --url URL 执行，凭据用 --admin-token-file PRIVATE_FILE 或受保护的 GBRAIN_ADMIN_BOOTSTRAP_TOKEN 环境变量，且不得打印其值。login-link 返回一次性敏感登录链接，需私下交付给请求所有者，不要自行访问验证。clients 可列出含已撤销注册的客户端，client ID 查看实时元数据与版本。创建机器访问用 mcp grant NAME --harness ID；原生 OAuth 用 mcp admin register NAME --redirect-uri URI。setup ID --harness ID 读取实际客户端方式，混合注册需显式选择 --flow authorization-code 或 --flow client-credentials。权限变更用 mcp grant NAME --client ID --if-version N --dry-run 预览，确认后再执行。结束访问有 invalidate-tokens、revoke、delete，默认预览，加 --yes --if-version N 应用。
使用方式与限制：普通 MCP OAuth 令牌、客户端密钥、admin scope 或完整工具面均不授权仪表盘登录或客户端管理；无所有者权限时应提供确切的所有者侧命令与前置条件，而非逐级扩大 OAuth scope。不要另开 PGLite 进程、删除锁或启动第二个服务器。变更后传输失败可能结果未知，重试前先检查现有客户端。原生 OAuth 由客户端发起授权并持有 PKCE verifier，公开 PKCE 用 token_endpoint_auth_method: none，机密 PKCE 用实际 POST/Basic 方式。验证连接需在原生 harness 内发起已认证调用，如读取 gbrain://capabilities。远程 recall/forget 仅作用于客户端来源授权内世界可见事实，测试须用 visibility: "world" 的无害合成数据并保留返回 ID 清理。错误处理遵循 agent operator 协议，insufficient_scope/invalid_token 属授权问题，只有所有者能改；列表失败不等于空列表；grant_diagnosis 会指出阻塞原因。具体命令与恢复表见 ADMIN.md，本资料未提供完整命令细节。