java - 授予 OAuth2 令牌时如何限制用户的范围？

Question

在 Spring Security OAuth2 中，我可以通过配置ClientDetails. 但是，除了由客户端限制之外，我还想限制个人用户可用的范围；例如，用户应该只能admin.forceLogout在持有ROLE_ADMIN.

我不想像那样直接将用户权限映射到范围checkUserScopes；相反，我想运行自定义逻辑来检查和修改与特定令牌授权关联的范围。最好的方法是什么？

我看到了两种可能性，看起来都不理想：

• 提供TokenEnhancer在颁发后修改令牌的 a。这似乎更多地用于包含附加信息，例如受众声明，而不是重写已经可用的范围。特别是，这在confirm_access步骤之后运行。

• 提供自定义OAuth2RequestFactory. 至少，这涉及复制大量安全敏感逻辑。覆盖checkUserScopes()似乎是放置自定义策略的完美位置，但它是私有的，唯一的覆盖点是在整个createTokenRequest().

有没有更好的方法来进行这种“交叉”过滤，或者这两个选项？

标签： javaspringspring-securityoauth-2.0spring-security-oauth2