spring oauth 2 client details . getauthorities()如何帮助/工作？

Question

我正在浏览Spring OAuth2 Client详细信息接口的api文档（源代码）。我不知道这是如何工作的，也不知道clientDetails.getAuthorities（）在授权流程中是如何帮助的。API文档描述如下：

Collection<org.springframework.security.core.GrantedAuthority> getAuthorities()

Returns the authorities that are granted to the OAuth client. Cannot return null. Note that these are NOT the authorities that are granted to the user with an authorized access token. Instead, these authorities are inherent to the client itself.

Returns:
    the authorities (never null)

而且我理解上面和userDetails接口的< code > user details . getauthorities()不一样。API文档如下所示:

java.util.Collection<? extends GrantedAuthority> getAuthorities()

Returns the authorities granted to the user. Cannot return null.

Returns:
    the authorities, sorted by natural key (never null) 

据我所知，在客户详情中，我们正在处理向OAuth2客户端授予权限，而在用户详情中，我们正在向用户即委托人授予权限。

但是前者和后来有什么不同，什么时候用前者。

稍微阐述一下-
在处理OAuth的时候，我们处理的是Auth Server发出的令牌。令牌通常是< code>jwt令牌,其中包含关于授予用户的权限的信息。典型的base64解码令牌的有效负载可能如下所示:

{
  "app-userId": "c54a-4140-9fa0-0f39",
  "user_name": "[e-mail]",
  "scope": [
    "all"
  ],
  "exp": 1656929583,
  "authorities": [
    "app1_viewer",
    "app1_modifier",
    "app2_viewer",
    "app2_blog_creator],
  "client_id": "client_A"
  ...
}

上面的权限是登录并使用应用程序的用户的权限。

< li >当用户访问app1时，它会检查上述jwt令牌，以确保用户具有所需的权限。 < li >如果app1必须调用app2，则app1将特定于当前用户的上述jwt(作为授权头)传递给app2。App2处理在头中收到的这个jwt令牌，并检查用户是否有访问/编辑资源的权限。并相应地返回200或403。

如您所见，该过程正在处理userDetails.getAuthorities（）。因此，clientDetails.getAuthorities（）如何以及在何处或在何种情况下提供帮助。它的用例/示例是什么。有人能解释一下吗？谢谢您的任何回答。

Answer 1

我不是Java英雄，但我经常使用Azure和OAuth2。你的问题让我思考那可能是什么。从我了解到的是，当局决定谁获得有效令牌，谁没有（令牌发行者）。从微软Azure留档关于MSAL，我得到以下信息：

权威

authority是一个URL，指示MSAL可以向其请求令牌的目录。

共同的权威机构是：

< Li > https://log in . Microsoft online . com/TENANT/< br >仅允许特定组织的用户登录。URL中的是Azure Active Directory (Azure AD)租户的租户ID(GUID)或其租户域。 < Li > https://log in . Microsoft online . com/common/使用工作和学校帐户或个人Microsoft帐户登录用户。 < Li > https://log in . Microsoft online . com/organizations/使用工作和学校帐户登录用户。 < Li > https://log in . Microsoft online . com/consumers/仅使用个人Microsoft帐户(MSA)登录用户。

一个有效的用例可能是想要构建一个多租户应用程序。因此，来自多个权限的用户能够注册和登录您的应用程序。根据权限，您可以过滤用户可以看到的数据，例如，仅过滤来自用户组织的数据。基本上与您如何使用userDetails.getAuthorities（）中的应用程序角色来根据用户在特定应用程序中的角色限制用户可以看到或执行的操作的想法相同。