如何使用Laravel Passport Scopes密码授权类型限制用户操作

Question

我已经为Laravel 5.3设置了Laravel Passport包，正如官方文档中所述(https://laravel.com/docs/5.3/passport#introduction).

我希望移动应用程序使用API，因此我尝试实现密码授予令牌。我已经创建了一个密码授予客户端，令牌请求过程。。。

$response = $http->post('http://my-app.com/oauth/token', [
    'form_params' => [
        'grant_type' => 'password',
        'client_id' => 'client-id',
        'client_secret' => 'client-secret',
        'username' => '[e-mail]',
        'password' => 'my-password',
        'scope' => '',
    ],
]);

...正如预期的那样，为我的一个用户返回一个访问令牌和一个刷新令牌。

但是现在我想定义一些范围，这样我就可以限制用户的访问...在留档之后，我在AuthServiceP的引导方法中定义了它们rovider.php如下：

Passport::tokensCan([
    'admin' => 'Perform every action',
    'user' => 'Perform only normal user actions',
]);

在这种情况下，如果“恶意”普通用户请求令牌（使用上述POST调用）指定“范围”=

因此，我想知道在这种情况下工作流如何有效地限制正常用户的访问，以及我必须在哪里实现范围验证逻辑。

提前感谢。




Answer 1

我忘了我在哪里读到过，某个地方有一些Github问题，但是很明显Laravel没有内置的能力，每个客户端都是一样的，开箱即用。

一位用户提供了一个很好的解决方案，我在这里以此为基础：https://stackoverflow.com/a/55285483/1132557

Answer 2

在我看来，我认为让大多数人对OAuth和API感到困惑的是，作用域与“客户机”绑定，而不是“资源所有者”本身。如果需要，客户端应该能够使用管理作用域或根本不使用作用域与API对话。如果他们将admin-ish类型的作用域与用户上下文（密码授权、授权码授权等）一起使用，那么就无法阻止他们在API中对该用户进行需要此类作用域的调用。对我来说，唯一一个真正可以被归类为恶意的人是那些设法窃取包含管理范围的访问令牌的人。这就是为什么允许API实现者指定授予客户机的作用域，如果它是使用类似密码授予的第一方应用程序，那么作为用户，您别无选择，只能信任它和您的数据。

我不知道一个人会如何做到这一点，并在另一个人的移动应用程序中使用检索到的令牌，但如果你真的尝试用管理范围手动请求令牌，那么我真的看不出有什么错（除了你给你的应用程序更多的控制权设置为用户上下文，所以它甚至可能会适得其反？（

如果您需要更多的控制，那么您需要超越您的API，为资源服务器中的每个用户创建类似应用程序级权限的东西。

Answer 3

匿名用户

一种方法是创建一个中间件

例如，如果您只希望用户使用来自示例的电子邮件。com请求管理域，您可以执行以下操作

示例ScopeLogic。php中间件：

if ($request->input('grant_type') === 'password') {
    $scope = $request->input('scope');
    $username = $request->input('username');

    if ($scope === 'admin' && (strpos($username, '@example.com') === false)) {
        return response()->json(['message' => "Not authorized to request admin scope"], 401);
    }
}

return $next($request);

当然，您必须将这个作用域添加到内核中的$routeMiddleware数组中。php

protected $routeMiddleware = [
    ...
    'check-scopes' => \App\Http\Middleware\ScopeLogic::class
]

以及包装护照::路由（）在AuthServiceProvider.php来检查这个中间件

\Route::group(['middleware' => 'check-scopes'], function() {
    Passport::routes();
});

Passport还将检查是否传递了正确的用户名和Passport组合，这样您就不必在中间件中担心这一点