oauth-2.0 - OAuth2 - 基于用户角色的授权

Question

我是 oAuth2 安全的新手。我对基于用户角色的授权访问 REST 资源有疑问。我的互联网冲浪为 oAuth2 的身份验证部分提供了输入。

让我向您提供困扰我的场景。

我有一个 REST 网络服务，它具有读取(HTTP 获取)、插入(HTTP 发布)、更新(HTTP 放置)和删除(HTTP 删除)给定资源的方法。

我有两个用户角色“STANDARD”和“ADMIN”。 “STANDARD”用户只能调用 READ (HTTP get)“ADMIN”可以访问 INSERT、UPDATE 和 DELETE 方法。我怎样才能达到同样的效果？

应考虑哪个 oAuth2 授权流程？

您能指出基于用户角色的 REST 资源授权的解决方案吗？

Answer 1

OAuth 没有定义身份验证是如何完成的，但它定义了 say that it's required in some cases .当它是时，就像 code flow或 ROPC ，授权服务器将知道用户的身份。从那里，它可以查找用户所在的组或他们拥有的角色。由此，授权服务器可以发布具有特定范围的访问 token (例如，read 用于STANDARD 用户，write 用于ADMIN 用户)。然后，在 API 中，它只会检查访问 token 的范围，而不必担心基于角色的访问。另一种方法是将组/角色放入授权服务器颁发的 token 中(作为声明)。然后，API 可以查看组/角色并决定是允许写入还是只允许读取。