spring-security-oauth2 - Oauth2 - 请求访问特定资源子集

Question

我正在为客户端应用程序开发一个 Restful API，在资源所有者授予必要的权限后，它将访问服务器上的资源。为了实现这一目标，我计划使用 Spring Oauth2。目前，我正在请求授权。验证码。服务器并使用它来获取用于访问资源所有者的资源的 token 。例如:

1- 客户端应用程序请求范围“readPhotos”，该范围映射到:/api/v1/photos

2- 资源所有者在授权服务器显示的页面上输入其凭据。

3- 授权服务器询问资源所有者是否要授予对其照片的访问权限。

4- 资源所有者批准并将授权代码传递给客户端应用程序。

5- 检索代码后，客户端应用程序将其传递给 auth。 token 的服务器。

6-收到 token ，客户端可以访问照片。

但是，我想让客户端指定它想要请求权限的资源子集。例如，假设资源所有者在资源服务器中有“photo1”、“photo2”、“photo3”、“photo4”。使客户端应用程序请求对资源子集(例如文件“photo1、photo3”而不是整个集合)进行授权的正确方法是什么？如何进行范围定义？由于每个用户的资源会有所不同(每个用户的照片 ID 会有所不同)，因此不可能使用 Spring Oauth2 的 ResourceServerConfigurerAdapter 静态定义具有单个作用域的每个资源。目前我正在使用以下照片权限配置。然而，正如我提到的，这个范围定义过于通用，并且为整个集合提供了权限。

protected static class ResourceServerConfiguration extends ResourceServerConfigurerAdapter {

http.requestMatchers().antMatchers(HttpMethod.GET, "/api/v1/photos").access(" #oauth2.clientHasRole('ROLE_CLIENT') and #oauth2.hasScope('readPhotos')")

Answer 1

访问 token 有作用域并且有受众(一般来说)。这些是你的变量。您可能必须使用与资源相对应的范围(但我认为受众也有一定的相关性)。困难的部分是验证身份验证服务器中的范围(或受众)。实际上，我不希望身份验证服务器能够了解有关可用资源的任何信息，因此您几乎必须授予客户端请求的任何范围，这可能会破坏该对象。因此，我认为底线是您需要问自己 token 是否真的是放置该信息的正确位置，除非您的示例不太现实，并且真正的用例更有趣。

或者您可以将验证范围的责任交给用户(他必须批准对单张照片的访问)。我想，这对于获得批准的资助(例如授权代码)是有效的。