用于保护 API 的 Oauth Flow

Question

我正在为多租户应用程序设计一个 REST API。我想保护 API。多租户应用可以由一个租户订阅，而租户又可以有多个用户使用该应用。

我计划同样使用 OAuth。其中一种可能性是使用 OAuth 的客户端凭据流 - 向订阅该服务的每个租户提供客户端 ID 和密码。

这种方法的问题是，我无法区分租户的不同用户，因为每个人都使用相同的客户端 ID 和密码来获取访问令牌。

另一个选项是使用 OAuth 的授权令牌流。但在这种情况下，我不确定应该如何交互，因为它是 API（非 UI）。

进一步，如何使用 SAML 解决这种用例？

Answer 1

不能。 SAML 规范。无法将 SAML 令牌传递给 API。

如果您需要用户上下文，则需要使用授权授予流程。通过身份验证后，您需要为该 API（范围等）量身定制的 JWT，然后将该 JWT 发送到 API。