当客户端发送有效的刷新令牌时，在颁发新访问令牌时更改作用域

Question

我正在使用来自这个github存储库的php oAU2库。

PHP oauth2库

每当我发送刷新令牌时，我都会收到带有旧作用域的新访问令牌。但我想更改使用新访问令牌返回的作用域。

当我第一次使用用户凭据授权类型生成令牌时，我会获取用户支持的作用域并以这种方式存储它们。

$defaultScope = implode(" ", $scopes);$memory = new OAuth2\Storage\Memory(array('default_scope' =>$defaultScope));
$scopeUtil = new OAuth2\Scope($memory);
$this->server->setScopeUtil($scopeUtil);
$this->server->handleTokenRequest(OAuth2\Request::createFromGlobals())->send();

其中$scopes是一个数组

例如$scopes=array("ADDUSER "，" EDITUSER "，" EDITROLE ")；

类似地，如果我使用refresh_token授权类型发送刷新令牌，并使用修改后的$scopes运行它，例如$scopes=array("ADDUSER "，" edit role ")；

  $defaultScope = implode(" ", $scopes);$memory = new OAuth2\Storage\Memory(array('default_scope' =>$defaultScope));
$scopeUtil = new OAuth2\Scope($memory);
$this->server->setScopeUtil($scopeUtil);
$this->server->handleTokenRequest(OAuth2\Request::createFromGlobals())->send();

我收到相同的旧作用域(“ADDUSER EDITUSER EDITROLE”)，这些作用域是在使用用户凭据授予类型生成新访问令牌时设置的。

那么，当使用刷新令牌生成新的访问令牌时，是否有办法更改范围？还是我在这里做错了什么？

Answer 1

当客户端在刷新令牌授权中请求新的访问令牌时，它可以“关闭范围”，请参阅此处规范中有关scope的文档：https://www.rfc-editor.org/rfc/rfc6749#section-6然而，您的授权服务器可能支持，也可能不支持。