Dante Cloud 发布 v4.1.1.1，基于 MCP 2026-07-28 规范对系统认证核心做了全面改造。该版规范把 MCP 从双向有状态协议转变为请求/响应式的无状态核心协议，开发者无需再维护 initialize / initialized 握手流程与 Mcp-Session-Id 会话绑定，每个请求自带协议版本、客户端身份与能力描述，可落在任意一台负载均衡后的实例上而无需共享存储；同时引入基于 HTTP 头的路由机制与可缓存列表结果。

授权层面，新规范全面对齐生产级 OAuth 2.0 与 OIDC 部署实践：引入 RFC 9207 issuer 验证以解决授权服务器混用攻击隐患，并从动态客户端注册（DCR）转向客户端 ID 元数据文档（CIMD），DCR 被标记为弃用并保留最少 12 个月兼容窗口。CIMD 允许客户端使用 HTTPS URL 作为 client_id，该 URL 指向一个包含客户端元数据的 JSON 文档，解决了 MCP 场景下客户端与服务器无预先关系的常见注册问题。

生态中已有的社区安全扩展存在明显缺口：spring-ai-community/mcp-security 未获 Spring AI 与 MCP 官方正式认可，0.1.9 之前版本未实现 MCP 安全规范中强制要求的 SSRF 缓解措施（CVE-2026-45609），协议对齐也不完全符合 2026-07-28 规范，且难以与既有安全架构体系化融合。Dante Cloud 基于 Spring Authorization Server 自行完成认证核心改造，新增支持 OAuth Client ID Metadata Documents、OAuth 2.0 Protected Resource Metadata 与 scopes_supported、WWW-Authenticate 响应头与 MCP Step-Up Authorization Flow、issuer 标识以及 RFC 8707 资源指示器。

鉴权侧，新版把动态鉴权机制扩展到 Spring AI MCP Server 的 @McpTool、@McpResource、@McpPrompt、@McpComplete 等注解标注的方法，新增 MCP Features 功能定义扫描，统一聚合并自动转换为系统权限功能，使 MCP 工具、资源和提示词与 REST 接口共享同一套动态权限管理体系，权限可在不修改代码的情况下通过管理界面调整。依赖侧同步升级了 Spring Cloud Tencent、Spring Boot Admin、SpringDoc、Nacos 等组件。