如何在oauth2身份验证的基础上实现用户权限

Question

在使用oauth2通过IdP对其用户进行身份验证的web应用程序中，实现用户权限（客户端和服务器端）的更标准/推荐的选项是什么？

我所说的“用户权限”指的是用户在应用程序中可以或不可以执行的操作。
例如，假设应用程序有一个“管理”页面，用于管理应用程序的一些设置，只有特定的用户才允许进入。其中一些用户只被允许查看当前设置，而其他用户也被允许更改设置（可能只有其中一些）。

据我所知，oauth2中的“作用域”概念可能用于实现这样的需求，因此，例如，只允许查看“admin”页面的用户将具有app:admin:view作用域，而还可以编辑设置的用户将具有app:admin:some-setting:edit作用域。
但是，在大多数大型标识提供者服务中，管理这些作用域以及将它们分配给用户的任务似乎相当繁琐。

那会是个好的解决办法吗？如果是这样的话，是否有任何产品/服务可以与oauth2 IDP集成，并帮助更容易地管理权限和将权限分配给用户（例如，使用一个漂亮的直观UI）？如果没有，是否有任何既定的方法来处理这类情况？

Answer 1

我不会为此目的使用OAuth2作用域。原因是OAuth2作用域用于限制应用程序可以用用户的资源做什么，而不是限制用户可以在应用程序中做什么。

例如，如果我编写了一个web应用程序，向用户显示他们在谷歌文档中使用的语言，那么它需要从谷歌委派的特权才能读取用户的谷歌文档，而不是读取他们的日历。因此，应用程序将从Google获得一个OAuth2令牌，该令牌的范围为读文档特权，而不是读日历特权或任何其他不必要的特权。

使用作用域来携带有关用户权限（与应用程序权限相反）的信息的具体缺点是，如果您想实现类似于上面的内容，即应用程序可以对应用程序中的用户资源进行不同级别的访问，那么尝试以多种方式同时使用OAuth2作用域可能会造成混乱。如果您希望通过API向客户公开应用程序中的功能以集成到他们自己的应用程序中，这可能会成为一个问题。

您提到您正在使用OAuth2进行身份验证。OAuth2用于委托授权，而不是身份验证。OAuth2访问令牌并不表示经过身份验证的用户。OpenId连接ID令牌。

我喜欢使用AWS Cognito进行身份验证。它为您跟踪您的用户，因此您不需要用户数据库，并处理对他们的身份验证。它与谷歌和脸书等外部身份提供商集成。对于跟踪不同类型用户的用例，可以使用认知组。这里有一篇博客文章，里面有一个例子。

基本上，您将从Cognito获得一个ID令牌，您的客户机或服务器可以读取该ID令牌来确定用户的组(admin、regull-user等）并相应地采取行动。下面是一个从令牌读取组的示例。