mcp-oauth 包名冲突导致依赖项目构建失败

[xuruoyu1979]

Issue: mcp-oauth 包名冲突导致依赖项目构建失败

问题描述

packages/mcp-oauth 包存在于 Poe monorepo 中，提供 OAuth 功能，但未发布到 npm。npm 上已存在同名包 mcp-oauth@1.0.0（punkpeye 的 MCP SSE proxy），导致依赖该包的项目从 npm 安装了错误的包，构建失败。

根本原因

包名冲突：

• Poe monorepo 中的 mcp-oauth@0.0.1：提供 OAuth 功能

  • 导出：createLoopbackAuthorizationSession, generateCodeChallenge, generateCodeVerifier
  • 位置：packages/mcp-oauth
  • 状态：未发布到 npm

• npm 上的 mcp-oauth@1.0.0：punkpeye 的 MCP SSE proxy

  • 功能：MCP SSE proxy（完全不提供 OAuth 功能）
  • 仓库：https://github.com/punkpeye/mcp-proxy
  • 发布时间：2025-05-25

依赖链：

opencode-poe-auth@0.0.1 → poe-oauth@0.0.7 → mcp-oauth: "*"

当 poe-oauth 依赖 mcp-oauth: "*" 时，包管理器从 npm 安装了错误的 mcp-oauth@1.0.0，导致构建失败。

影响

受影响项目：

• OpenCode（已集成 opencode-poe-auth 作为内置插件）
• 任何依赖 poe-oauth 或 opencode-poe-auth 的项目

构建错误示例：

error: No matching export in "mcp-oauth/dist/index.js" for import "createLoopbackAuthorizationSession"
error: No matching export in "mcp-oauth/dist/index.js" for import "generateCodeChallenge"
error: No matching export in "mcp-oauth/dist/index.js" for import "generateCodeVerifier"

建议解决方案

方案 1：发布正确的包到 npm（推荐）

• 将 packages/mcp-oauth 发布到 npm
• 版本号建议使用 0.0.1 或更高
• 确保 package.json 中的名称、版本、描述准确

方案 2：更改包名避免冲突

• 将 packages/mcp-oauth 重命名为其他名称
• 例如：poe-mcp-oauth 或 @poe-platform/mcp-oauth
• 更新所有依赖该包的项目

方案 3：使用 resolutions/overrides

• 在依赖项目的 package.json 中添加 resolutions 指定正确版本
• 但这需要上游先发布包

复现步骤

1. 安装依赖 opencode-poe-auth 或 poe-oauth
2. 运行构建命令
3. 包管理器从 npm 安装 mcp-oauth@1.0.0
4. 构建失败，提示缺少 OAuth 相关导出

具体示例：

# 在 OpenCode 项目中
bun install
./packages/opencode/script/build.ts --single

# 错误输出
error: No matching export in "mcp-oauth/dist/index.js" for import "createLoopbackAuthorizationSession"

环境信息

• Poe monorepo: https://github.com/poe-platform/poe-code
• 受影响包: packages/mcp-oauth, packages/poe-oauth, packages/opencode-poe-auth
• npm 冲突包: https://www.npmjs.com/package/mcp-oauth
• 包管理器: Bun 1.3.13, npm, yarn 均受影响

附加信息

OpenCode 临时解决方案：
OpenCode 项目已暂时移除 opencode-poe-auth 依赖以避免构建失败：

• https://github.com/anomalyco/opencode（未找到相关 issue）
• 修改：注释掉 packages/opencode/package.json 和 packages/opencode/src/plugin/index.ts 中的相关依赖

相关 PR：

• OpenCode PR #18477 添加了 Poe OAuth 认证插件：feat: add Poe OAuth auth plugin anomalyco/opencode#18477

[kamilio]

Thanks for the detailed report — the analysis was correct.

Fixed in 898a8c7 on main. Approach: inlined the small surface that poe-oauth actually used from mcp-oauth (loopback authorization session, PKCE helpers, OAuthLandingPage type) directly into the poe-oauth package and removed the mcp-oauth dependency entirely. This also fixes a second latent bug where the published poe-oauth@0.0.7 imported via the relative path ../../mcp-oauth/dist/index.js, which walked out of the package and would have broken under pnpm-strict installs even without the npm name conflict.

opencode-poe-auth is fixed transitively — its only OAuth dependency is poe-oauth.

The fix takes effect for downstream users once new versions of poe-oauth and opencode-poe-auth are published to npm.

[xuruoyu1979]

Thanks a lot for quick fix, :)