OAuth API 范式中的用户级权限

Question

查看一些现有的实现，我已经看到了在 OAuth API 中处理 范围 的 2 种方法。一种方法是在注册时将权限与应用程序相关联。另一种是在运行时将它们与请求令牌一起传递。流行的主题是OAuth 权限与应用程序相关联。

相比之下，在我认为的传统范式中，权限可以与用户相关联。这个想法是，如果 UserA 和 UserB 具有不同级别的访问权限，那么 UserB 可能被授予对 UserA 可能没有的功能的访问权限。

我的问题是后者通常如何在 OAuth 范式中实现？由于权限似乎通常与应用程序而不是用户相关联，我想知道如何处理用户级权限。

Answer 1

根据我们的移动开发人员所说，这很像传统范式。服务器在每个用户上包含某种类型的 role 属性，应用程序可以使用这些属性有条件地公开功能。