是否可以在 OAuth 客户端应用程序上控制用户访问？

Question

我们的 OAuth 客户端应用程序是使用 Spring（通过 JHipster）构建的。 OAuth 提供程序仅提供身份验证功能，但不提供授权功能。理想情况下，我们应该只允许一小部分人访问我们的 OAuth 客户端应用程序，而不是所有可以登录 OAuth 提供程序的用户。

我现在能想到的一个解决方案是创建一个自定义用户角色来控制 OAuth 客户端应用程序中的访问。但是，这只能在用户首次登录后在应用程序中创建用户帐户数据时完成。

有更好的解决方案吗？

Answer 1

理想情况下，您应该在在应用程序中创建用户帐户数据之前应用用户访问控制。您可以通过在为您的应用程序（又名客户端）生成的令牌中提供特定于应用程序的 scope 或 claim 来做到这一点。收到令牌后，应用程序将在允许访问之前检查令牌中所需的属性。