为什么我的授权头不需要“不记名”？

Question

我目前正在处理一组应用程序，这些应用程序运行在两个独立但等效的环境中（称为ENV1和ENV2）。我一直在使用OAuth 2.0进行授权，当我从OAuth服务请求访问令牌后收到响应时（我正在通过Postman进行请求），我会从ENV1和ENV2得到如下响应：

据我所知，我相信这个< code >“token _ type”:“Bearer”意味着当我向我的应用程序发送< code>access_token时，我需要这样做:

通过前缀为“Bearer”的Authorization头发送令牌。这种方法在ENV1上运行良好，但在ENV2

如果我发送带有“Bearer”前缀的Authorization头，我会得到一个401 Unauthorized错误作为响应。这是Postman提供的帮助提示（强调我的）：

类似于403 Forbidden，但专门用于可能进行身份验证但身份验证失败或尚未提供身份验证的情况。该响应必须包括WWW-Authenticate报头字段，该字段包含适用于所请求资源的质询。

这里的问题是有一个< code>WWW-Authenticate头字段，它包含“Bearer”，我认为这是一个“适用于所请求资源的质询”，因为令牌响应包含< code >“token _ type”:“Bearer”:

• 为什么环境之间会有所不同？
• 这怎么可能？我在 OAuth 2.0 上找到的文档显示，像我尝试发出的请求需要“持有者”前缀。（例如，在此处文档的第 2.1 节中）

Answer 1

从您的描述来看，环境似乎并不完全相同。例如，也许 ENV2 位于将持有者前缀添加到标头的网关后面。或者，ENV2（或网关）上的 API 配置为读取不带前缀的标头。

当OAuth Server返回访问令牌时，它将为您提供类型-a＜code＞bearer＜/code＞令牌。这种类型意味着，代币只是一种持有者代币，而不是持有证明代币。当您向API发送承载令牌时，您不必提供任何其他信息来证明您是令牌的所有者。（您可以将承载与DPoP标准进行比较）

持有者令牌使用标准确实要求您在授权标头中使用前缀持有者（如您所指出的），但这并不意味着所有 API 和网关都正确实现了该标准，或者它们根本不使用该标准。

总结一下：

由
• 网关/API 决定他们想要授权标头的格式，这与令牌的类型（持有者令牌）无关。当他们使用标准时，这很好，但他们不必这样做。
• 在您的设置中，如果同一请求在环境之间得到不同的处理，则它们之间必须存在某种差异。如果您拥有环境，则应调查配置不同的内容。如果您不拥有它们，则应联系所有者的支持以解决问题。