FIWARE-Keyrock：如果OAuth2凭据不控制访问，为什么它们与应用程序相关？

Question

我们有一种情况，我想使用Wilma PEP代理保护服务X。 服务X在Keyrock中注册。 Wilma PEP代理包含在Keyrock中为服务X生成的PEP凭据。应用程序Y可以使用为此特定服务生成的正确OAuth2凭据（来自Service X的client_id和client_secret）访问服务X。 没关系。 但是有一个问题：应用程序Z还可以使用不同的OAuth2凭据（而不是服务X凭据）访问服务X！

如果有可能，为什么如果应用程序不控制任何内容，为什么我们要在Keyrock中生成具有特定OAuth2凭据的应用程序？ 它没有任何意义！

这是一个很大的安全问题，因为一个入侵者可以在Keyrock中注册某个应用程序，并使用为此特定应用程序生成的令牌（具有其自己的OAuth2凭据），该入侵者可以访问在此Keyrock实例中注册的所有应用程序！

Answer 1

如您在PEP代理文档中所见，级别1仅检查身份验证。 因此，每个具有有效令牌（即在Keyrock中进行了身份验证）的用户都将被重定向到服务器应用程序。 如果还要检查授权，则必须配置具有基本或高级安全授权级别的AuthZForce服务器。

另一方面，在令牌验证响应中，您将获得一个字段application_id，该字段指示您创建令牌的范围。