在Spring Security OAuth2（provider）中使用作用域作为角色

Question

让我们考虑一个相当简单的假设应用程序，用户可以在其中读取或编写帖子。

一些用户可以阅读和写文章，而另一些用户只能阅读。在Spring Security(3.2.1)中，我通过两个角色对其进行建模：

• role_write:此角色授予用户编写文章的访问权限。
• role_read:此角色授予用户读取文章的权限。

在授权步骤中，应用程序询问用户是否愿意授予代表他们阅读和/或撰写帖子的权限。这里的用户在这里授予范围（而不是角色）。

然后，当OAuth2使用者调用我的REST API时，Spring Sec OAuth授权所授予的令牌，并创建一个身份验证，其中包含用户及其所有角色和仅授予的作用域。

问题（和问题）是，我现在必须编写不同的安全逻辑，这取决于API是由正常身份验证的用户调用的（只需检查角色），还是通过OAuth2调用的（检查角色+作用域）。

有没有可能在Spring Security OAuth2中“合并”角色和范围的概念，以便在授权步骤中，用户授予应用程序他们拥有的角色的子集（并且让OAuth2身份验证仅在授予的权限中报告这些角色）？这样，当第三方应用程序进行API调用时，身份验证中的角色就是被授予的角色？这样，我就不必编写任何特定于OAuth2的安全逻辑。

Answer 1

作用域（和角色）是任意字符串，所以如果您想使其相同，就没有问题。要使访问规则声明相同，您可以编写一个expressionhandler，该expressionhandler，根据它找到的authentication的类型，使用相同的值测试权限或作用域。

在阅读注释后，会出现一种不同的方法：添加自定义的TokenStore或ResourceServerTokenServices。这些是易于访问的扩展点，允许修改oauth2authentication，使其授予的权限与作用域相同。

但是，我更喜欢使用oauth2requestfactory来控制允许的范围，在令牌授予时将其限制为与用户权限一致的值。