oauth-2.0 - IdentityServer 中的作用域是什么

Question

我试图了解 IdentityServer3 以及与之相关的不同术语，以保护我的 Web API。有人可以用一些很好的例子来解释 IdentityServer 中 Scope 的意义。

我找到了 this链接但想法不清楚。

提前致谢!

Answer 1

了解 oAuth2 的更好资源是 IETF ，关于 OpenID Connect 是 openid.net .

IdentityServer 是 OAuth2 和 OpenID 的实现，因此它的文档不会涵盖与 OAuth2 和 OpenID 相关的基础知识。

要首先了解范围，您应该对客户端有一个清晰的了解。

客户端:为 OpenID Connect 或 OAuth2 客户端(不是您的客户端应用程序)建模，它应该有一个清晰的流程，例如您定义了一个使用隐式流程的客户端。

该流程是您为了获取所需数据(例如 access_token 和 id_token)而应遵循的方式。

所有流程都可以用于任何案例，但每个案例都有推荐的流程。

例如，到目前为止，建议您对 native 和 javascript 客户端使用隐式流。不过，最近这已更改为 PKCE 的授权代码。请参阅身份服务器关于此 change to IETF/OpenID recommendations 的博客文章

范围:模拟 OpenID Connect(身份范围，如电子邮件、给定名称等)或 OAuth2(资源范围，如您想要保护其数据的 WebApi)范围。

您可以将范围视为客户端的意图，例如:客户端要求您使用您的资源所有者授予我访问您的 openid 范围 > given_name、email & preferred_username 和您的 OAuth2 范围 > WebApi。

为了充分理解:

1- Pluralsight - Building and Securing a RESTful API for Multiple Clients in ASP.NET

2- Pluralsight - OAuth2 and OpenID Connect Strategies for Angular and ASP.NET