Eine unveränderte laravel/mcp-0.9-Installation kann nach einem Composer-Update plötzlich HTTP 400 liefern. In Version 1.0 müssen alle POST-Anfragen passende Header für `MCP-Protocol-Version` und `Mcp-Method` enthalten. Aufrufe wie `tools/call` benötigen zusätzlich `Mcp-Name`. Bei einem Fehler antwortet der Server mit dem JSON-RPC-Code `-32020`, auch wenn Anwendungscode und Tool-Klassen unverändert geblieben sind.

grep -rn "sessionId()\|setSessionId(\|SessionInitialized" app/

Laravel MCP 1.0 verwendet die MCP-Version 2026-07-28. Der bisherige `initialize`-Handshake wird durch `server/discover` ersetzt, und serverseitige Sitzungen entfallen. Jede HTTP-Anfrage und jede stdio-Nachricht überträgt Protokollversion und Client-Funktionen über `params._meta`. Die APIs `sessionId()`, `setSessionId($id)` und `SessionInitialized` wurden entfernt. Anwendungen müssen ihren Kontext selbst über Tool-Argumente oder `_meta` weitergeben, etwa mit einer `correlation_id`. Dadurch kann jede Server-Instanz Anfragen bearbeiten, ohne Sticky Sessions oder einen gemeinsamen Session-Speicher.

Für ältere Clients gibt es weiterhin eine Kompatibilitätsschicht. Ein `initialize`-Request mit den Protokollversionen `2025-06-18` oder `2025-11-25` kann weiterhin ausgehandelt werden. Server mit externen Agenten sollten deshalb beide Protokollgenerationen testen.

Die Tool-Erkennung wurde ebenfalls erweitert. Agenten können Tools über `search_tools` und `execute_tools` suchen und ausführen. Ein Server kann weiterhin Klassen wie `SearchOrders` und `GetCustomer` in seinem `tools`-Array angeben. Der Statamic-MCP-Server stellt beim Verbindungsaufbau inzwischen drei Tools bereit und hält acht weitere hinter der Suche zurück. Cache-Hinweise können Wiederverwendbarkeit, Gültigkeitsdauer und Datenschutzbereich einer Antwort festlegen. Der Laravel-MCP-Client berücksichtigt diese Hinweise beim Zugriff auf einen anderen Server.

Für OAuth ist PKCE jetzt Pflicht. Meldet ein Autorisierungsserver `code_challenge_methods_supported` nicht in seinen Metadaten, bricht `redirect()` vor der Weiterleitung des Benutzers ab. Client ID Metadata Documents sind der bevorzugte Weg für die Registrierung. Dynamic Client Registration bleibt verfügbar, ist unter MCP 2026-07-28 aber veraltet.

Vor dem Upgrade sollte der mitgelieferte Leitfaden gelesen werden. Danach folgen die Suche nach entfernten Session-Symbolen, die Umstellung auf explizite Kontext-IDs, die Prüfung der OAuth-Metadaten externer Anbieter, eine bewusste Entscheidung über den Tool-Katalog und Tests für beide Protokollgenerationen. Ein gewöhnliches Composer-Update kann sonst dazu führen, dass jeder `tools/call`-Request mit `-32020` scheitert.