防止用户调用受保护的endpointOAuth2

Question

出于学习目的，我正在使用OAuth2开发一个REST API Angular 4应用程序。

有些受保护的endpoint只能由经过身份验证的用户调用。让我们以更新用户配置文件的endpoint为例：

/users/{user_id}

登录用户将能够通过转到更新配置文件屏幕来更新自己的配置文件，该屏幕在后台将调用 /users/{user_id}发送带有新信息和访问令牌的有效载荷。

我们如何防止恶意用户调用同一个endpoint来更新其他用户的配置文件？

ID为1的用户应该可以调用 /users/1但不能 /users/2？

这是可以用OAuth做的事情吗？还是我误解了什么？

谢谢

Answer 1

请阅读有关Oauth2的Spring Security。因为您同时实现后端和前端，所以密码授予类型是合适的。Oauth 2.0规范在这里讨论了它：密码授权类型（又名资源所有者密码凭据）以及检查此链接。

为了回答您的问题，在密码授予类型-用户名和密码用于获取访问令牌。来自前端的每个请求都需要传递该访问令牌。安全终结点将检查访问令牌是否有效，是否针对同一用户发出。

Answer 2

有一种很酷的东西叫做棱角分明的守卫。这是文档的链接：https://angular.io/guide/router

Answer 3

如果您想坚持使用典型的REST风格API（即，要更新的用户配置文件的ID随请求一起发送），则必须在服务器端添加一些额外的检查。用于验证用户身份的访问令牌包含她/他的身份，这将导致请求范围中相应的主体对象。您必须检查此主体所代表的用户是否真的有权使用请求中的ID更新给定的用户配置文件。

例如，您可以首先从数据库加载具有给定ID的配置文件，然后检查用户名是否等于主体的用户名。这也可以通过Spring Security预授权注释和参数中的一点SpEL魔力来实现。

替代方法：远离REST风格的API，只需提供一个endpoint/update profile（或类似的命名），它不需要用户ID作为URL的一部分。然后，您只需获取访问令牌提供的用户身份，并更新数据库中相应的配置文件。因此，用户只能更新她/他可以获得访问令牌的配置文件。-缺点是，您将无法允许某些超级用户或管理员在此设置中更新任何任意配置文件。