客户端凭据授予访问令牌是否可以映射到用户？

Question

我想在 oauth2 中使用 Client Credentials Grant 来保护 API。

但是，我希望访问令牌映射到单个用户（由我在共享密钥/秘密的带外信任/设置阶段选择）。

这是一个问题吗？我知道使用客户端凭据授予的访问令牌不应该在用户的上下文中......以这种方式绑定它是不好的做法吗？

Answer 1

这本身不是问题，至少在安全方面是这样，尽管您可能会称其为不好的做法。如果您确保以这样一种方式分配客户端凭据，以保证它被绑定到该客户端被授权的一个用户，那么就没有问题。请注意，实现这一点的带外过程正是授权代码授予您带内的内容。

您还必须确保在用户更改所需权限或删除用户帐户时撤销客户端凭据，就像常规授权服务器对其刷新令牌所做的那样。