共有1个答案
2015年11月更新：按照下面的Hans Z--现在确实定义为RFC7662的一部分。
原始答案：OAuth 2.0规范（RFC 6749）没有明确定义资源服务器(RS)和授权服务器(AS)之间的访问令牌(AT)验证的交互。这实际上取决于AS的令牌格式/策略--有些令牌是自包含的（如JSON Web令牌），而其他的则可能与会话cookie类似，因为它们只是引用服务器端保存在AS的信息。
OAuth工作组中有一些关于为RS与AS通信以进行AT验证的标准方式的讨论。我的公司（Ping Identity）为我们的商业OAuth（PingFederate）提供了一种类似的方法:https://support.pingidentity.com/s/document-item？bundleid=pingfederate-93&topicid=lzn1564003025072.html#lzn1564003025072__section_n10578_n1002a_n10001。为此，它使用基于REST的交互，这与OAuth2.0非常互补。
-
我已经实现了SpringBoot2OAuth2OAuthorization服务器。我只想使用Client_凭证来保护资源服务器，我可以从Auth Server获取访问令牌，但当我将其传递给access rest api时，资源服务器不会从授权服务器验证它，并给出无效的访问令牌错误，我正在使用postman来获取访问令牌并访问quest资源服务器。 授权服务器 授权服务器配置 授权服务器Web配置
-
有两个< code >Spring启动应用程序。 有用作 dev okta 帐户 (这两个应用程序是标准的< code>Spring Boot客户端- -安全地将消息发送到-- （它按预期工作） 但我试图弄清楚他们之间发生了什么，交通明智 我试图发现检查它从从获取的令牌的那一刻。 这是标准< code>oauth 2.0流程和我想调试部分的序列图(箭头) 之间有一个通信，器： 我似乎无法确认资源服
-
REST API如何保护自己免受不是由允许的OAuth访问令牌URL生成的访问令牌的攻击？ 由允许的OAuth访问令牌URL生成的令牌 “授权：Bear MTqvlvbdm73SIsN2PEhsetOwEHW439N2” 黑客生成的令牌 “授权：熊CAqvlvbdm73SIsN2PEhsetowEHW439N2”
-
我想做基于令牌的机制，我将有要么温泉或移动应用程序支持多个客户端。 我的web服务引擎和应用程序的用例： 我的web应用程序:客户将注册他们的应用程序，无论是SPA还是移动应用程序。他们将在注册时获得客户id。在SPA或移动应用程序的情况下，只有作为密钥的客户端id会被泄露，因此我只提供客户端id。 Web服务引擎：支持多个客户端，登录客户端各自的应用程序后管理每个用户的会话。 因此，假设有 2
-
我正在使用Spring、Jersey和Hibernate（JPA）在Java中构建REST Web服务。 现在我试图在我的资源中添加对验证的支持。JSR-303（Bean验证）自然是一个合适的选择（我使用的是JSR-303的参考实现Hibernate验证器）。然而，我试图首先巩固一些概念。 在我看来，至少有两种可能的验证： 定期验证字段，例如检查属性是否为空，检查属性是否是有效的电子邮件，检查属性
-
我正在使用Spring OAuth2实现单独的资源和自定义身份验证服务器。我已经通过发出和验证JWT令牌配置了与身份验证服务器的交互，看起来一切都很好。 现在我正在尝试添加SSO功能，但真的坚持了下来。我研究了官方的Spring示例和附带的指南，但是当涉及到将SSO部分与自定义服务器身份验证连接时，它的措辞非常简短。而且实际上作者只使用外部提供程序资源（“user”信息）来显示进程。 我认为这是正