Comment contrôler finement les autorisations d'accès à l'interface Access_token via le mécanisme de portée de OAuth2.0?

Utilisez Access_token dans OAuth 2.0 pour contrôler finement les autorisations d'accès aux API

OAuth2.0 est largement utilisé dans le développement d'applications modernes, en particulier dans le scénario de partage des données utilisateur sur les applications. Par exemple, l'application de l'entreprise A niche la page H5 de l'entreprise B, qui nécessite un accès aux informations utilisateur de l'entreprise A. La société B a obtenu l'accès_token de la société A à OAuth2.0. Comment s'assurer que ce jeton ne peut accéder qu'à des interfaces spécifiques, pas toutes les interfaces de la société A?

Le problème est de savoir comment utiliser OAuth2.0 pour limiter la portée d'accès d'accès_token afin qu'il ne puisse qu'appeler les interfaces spécifiques de la société A (par exemple: l'obtention du numéro de téléphone mobile, le vrai nom de l'utilisateur, la carte d'identification utilisateur) et le non-accéder à d'autres interfaces.

scope de OAuth2.0 résout parfaitement ce problème. scope est utilisée pour définir les autorisations d'accès pour Access_token. Au cours du processus d'autorisation, nous pouvons clairement spécifier la portée de l'autorisation d'Access_token via scope , restreignant ainsi l'interface à laquelle il accède.

Lorsque la page H5 de la société B demande les informations utilisateur de l'entreprise A, l'autorisation de la société A demandera l'autorisation de l'utilisateur. scope inclus dans la demande spécifie les autorisations requises:

 <code>GET /authorize? response_type=code& client_id=s6BhdRkqt3& redirect_uri=https://client.example.com/cb& scope=phone name idcard& state=xyz</code>

scope=phone name idcard signifie uniquement demander des autorisations pour obtenir le numéro de téléphone mobile, le vrai nom et la carte d'identité de l'utilisateur.

Après l'autorisation de l'utilisateur, la société A émet Access_Tokens contenant des autorisations spécifiques. Lorsque la page H5 de la société B utilise ce jeton pour demander le serveur de ressources de l'entreprise A, le serveur décidera d'autoriser l'accès en fonction des autorisations dans le jeton. Si l'interface demandée n'est pas dans la portée des autorisations, le serveur refusera l'accès.

Par conséquent, scope peut limiter la portée de l'utilisation Access_token et implémenter le contrôle d'autorisation d'accès interface granulaire. Cela limite non seulement la portée de l'accès d'accès_token, mais assure également la légitimité de l'accès à l'interface par l'autorisation de l'utilisateur, réalisant une double protection.

Cette méthode distingue clairement la portée d'accès de l'autorisation Access_token et de l'utilisateur, et est un moyen efficace d'obtenir un contrôle d'autorisation fin.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!