用途：为 Cloudflare Workers 上的 MCP 服务器添加生产可用的 OAuth 认证，用 Google 登录替代静态令牌，并支持 Claude.ai 所需的动态客户端注册（DCR）。适用于需要用户认证、需要用户上下文（邮箱、姓名、头像）或要接入 Claude.ai 的 MCP 服务器；内部私有、无用户数据或仅本地开发的 MCP 服务器不建议使用。
主要能力：采用双重 OAuth 角色模式，MCP 服务器既作为上游 Google 的 OAuth 客户端，又作为 MCP 客户端的 OAuth 服务器；由 workers-oauth-provider 处理规范合规，服务器自行签发令牌而非透传第三方令牌；加密访问令牌存入 Workers KV；工具处理器可通过 this.props 读取 email、id、accessToken 等用户属性。安全特性包括 CSRF 防护、KV 一次性 state 校验（10 分钟 TTL）、会话绑定、已批准客户端缓存（30 天）。
使用方式：安装依赖 npm install @cloudflare/workers-oauth-provider agents @modelcontextprotocol/sdk hono zod；在 wrangler.jsonc 配置 OAUTH_KV 与 Durable Objects；用 npx wrangler secret put 设置 GOOGLE_CLIENT_ID、GOOGLE_CLIENT_SECRET、COOKIE_ENCRYPTION_KEY，可选 GOOGLE_SCOPES；在 Google Cloud Console 创建 Web 应用 OAuth 客户端并添加回调 URI https://your-worker.workers.dev/callback；部署 npx wrangler deploy。入口用 OAuthProvider 包装 McpAgent，并实现 /authorize、/callback 等路由。
限制：库当前同时接受 plain 与 S256 PKCE，无法强制仅 S256（见 GitHub Issue #113）；具体收费、价格与效果资料暂未提供。