oauth-2.0 - 针对什么资源服务检查承载/访问令牌？

Question

当客户端使用 OAuth 访问令牌向资源服务发送请求时，资源服务如何检查访问令牌？资源服务器是否针对某个实体验证访问令牌？

标签： oauth-2.0

Answer 1

针对特定资源上的特定操作验证令牌是使用 oauth2范围完成的

资源服务器执行验证本身的方式取决于实现，最简单的方法是使用“自包含令牌”，例如 JWT 令牌，这样您就可以从令牌本身获取范围而无需额外查找。

如果您的服务器使用传统的 http REST 语义公开资源，最简单的实现是使用 http 中间件/过滤器，它只检查资源 uri 和 http 动词以确定操作的有效性