rest - Resource Server 如何理解 OAuth 2.0 中的 Access Token？

Question

我尝试了解 REST 服务如何与 OAuth 2.0 协同工作。 access_token 是什么以及如何获取它我明白了。但是资源服务器(REST 服务)如何使用 access_token 我不明白。资源服务器是否在每次收到 access_token(在来自客户端的 REST 调用上)时向授权服务器发出请求以验证它？

Answer 1

在 OAuth 2.0 标准中，关于访问 token 的外观以及如何对其进行验证和解释的协议(protocol)由资源服务器 (RS) 和授权服务器 (AS) 自行决定。因此，RS 完全有可能在每次收到您描述的访问 token 时执行验证调用。出于性能原因，RS 更有可能缓存查找结果；该模型如今已得到广泛部署。

授权服务器也可以以 RS 可以自行验证的方式构建访问 token 。一个例子是使用 JSON Web Token作为访问 token 格式。

最重要的是:OAuth 2.0 有一个扩展，它标准化了您描述的 RS 和 AS 之间的验证交互。它被称为“OAuth 2.0 token 自省(introspection)”，可以找到 here . RS 和 AS 可能同意遵守这一点，这将增加 RS 与另一个 AS 互操作的机会。