oauth-2.0 - 如何确定访问 token 使用了哪种授予类型

Question

Closed. This question needs to be more focused。它当前不接受答案。












想要改善这个问题吗？更新问题，使它仅关注 editing this post的一个问题。

3年前关闭。



Improve this question




我在WSO2 API管理器中配置了一个API，该API允许多种不同的OAuth 2.0授予类型(客户端凭据和openid)。

我的API需要不同的行为，具体取决于是否通过客户端凭据与openid生成的access_token进行调用。 API如何验证提供的此访问 token 是通过客户端凭据还是openid生成的？

编辑和解决方案:

我找到了一种方法来做到这一点。以下 WSO2 Documentation显示了如何配置API管理器以传递包含某些 token 特定信息的JWT。在该 token 中，您将找到“ http://wso2.org/claims/usertype”声明。如果通过客户端凭据授予类型访问您的api，则通过openid或SAML访问其api时，其值为APPLICATION_USER。我还没有找到专门概述这种情况的文档，但它似乎有效。

最佳答案

我认为没有直接的方法可以执行此操作，除非您使用write your own code从IDN_OAUTH2_ACCESS_TOKEN表中获取此信息。

但是，使用一些骇人听闻的方法，您应该可以轻松完成此操作。

例如，

1)如果您已经知道应用程序创建者的名称(或用户存储域)，则可以获取this blog post中提到的 token 的所有者，并将其与应用程序所有者的名称进行比较。由客户端证书授予类型生成的 token 的所有者始终与应用程序所有者相同。但是，此方法的局限性在于，当应用程序所有者调用with API OICD token 和客户端凭据授予类型时，您无法区分。

2)启用JWT tokens，然后根据用户声明做出决定。

关于oauth-2.0 - 如何确定访问 token 使用了哪种授予类型，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/48196661/

上一篇：Twilio session 与通话

下一篇：php - 如何检查 PHP 中的前 2 个字符(不区分大小写)？

相关文章：

Python 3 的 OAuth 端口

php - OAuth 2.0 不适用于服务器端 Web 应用程序

node.js - 收到访问 token 后，无法在 Nodejs 中向 Google OAuth 2 发出经过身份验证的请求

spring-security - Spring SAML 与 WSO2 身份服务器集成，无法识别 SAML 消息

WSO2 APIM : Difference between Class mediators and custom handlers

api - WSO2 API 管理器 - 错误 - APIKeyMgtServiceComponent 初始化节俭传输时出错

google-app-engine - Google Calendar API 日历 ID 和事件 ID

open-source - WSO2 ESB如何下载源码

java - WSO2 ESB 打开文件太多

docker - WSO2-APIM(v1.9.1)从Docker运行，无法使用通用URL创建新的API

Answer 1

我认为没有直接的方法可以执行此操作，除非您使用write your own code从IDN_OAUTH2_ACCESS_TOKEN表中获取此信息。

但是，使用一些骇人听闻的方法，您应该可以轻松完成此操作。

例如，

1)如果您已经知道应用程序创建者的名称(或用户存储域)，则可以获取this blog post中提到的 token 的所有者，并将其与应用程序所有者的名称进行比较。由客户端证书授予类型生成的 token 的所有者始终与应用程序所有者相同。但是，此方法的局限性在于，当应用程序所有者调用with API OICD token 和客户端凭据授予类型时，您无法区分。

2)启用JWT tokens，然后根据用户声明做出决定。