Come può un server delle risorse OAuth2 collegare un token di accesso all'utente che lo ha autorizzato a impedire l'accesso non autorizzato ad altre risorse utente?

Puoi implementare Introspezione di token OAuth 2.0 come un modo per il server delle risorse per interrogare il server di autorizzazione per i metadati di token.

Utilizzando campi di risposta all'introspezione definiti puoi trasportare l'identità del proprietario di risorse nei campi sub e username .

Inoltre, direi che se il token è davvero opaco allora non solo si può ma si dovrebbe implementare l'introspezione perché è un modo per controllare.

• Se il token è realmente rilasciato dal server di autorizzazione giusto, puoi assicurarlo anche con la crittografia ma non con le cose successive
• Se il token è ancora attivo
• Se il token è stato rilasciato al client che lo utilizza
• Se l'ambito del token copre l'operazione richiesta

oAuth 2.0 non ha un meccanismo di build per farlo, tuttavia ci sono alcuni schemi che potresti impiegare per farlo funzionare.

1. usa un livello di Autenticazione su off oAuth (come openID Connect) per recuperare le informazioni dell'utente di cui hai bisogno

2. Aggiungi un ambito per i dettagli utente per accedere a tali dettagli utente e concedere solo quell'ambito per quell'utente. Basta essere consapevoli delle perdite di informazioni che possono causare.

3. Utilizzare il provider di autorizzazione come gatekeeper e fornire i dettagli richiesti per quell'utente specifico, non il server di risorse in cui vengono effettivamente archiviate le immagini. una specie di sbirro, ma funzionerebbe anche.

OAuth si occupa di autorizzazione : il token fornisce solo un'indicazione delle autorizzazioni delegate. Potrebbe anche avere informazioni sull'utente che ha autorizzato il permesso ma in realtà non rappresenta un utente. Spetta al server delle risorse dare un senso alle autorizzazioni e limitare l'utilizzo di conseguenza.

Se a causa della natura dei tuoi server questo non è possibile impostare senza l'identità dell'utente, allora avrai bisogno delle autenticazione soluzioni che funzionano insieme a OAuth (ad esempio OpenID Connect).

L'autorizzazione viene eseguita con l'implementazione del reindirizzamento che preserva l'autenticità del server delle applicazioni e del server delle autorizzazioni.

OAuth supporta diversi tipi di flussi di lavoro. Il tipo di concessione del codice di autorizzazione è il più utilizzato poiché è ottimizzato per sfruttare le funzionalità di reindirizzamento di un browser Web.

Altre informazioni possono essere trovate con la seguente risorsa: -

link