如何使用OAuth为API生态系统定义范围？

Question

作为使用OAuth的API生态系统的创建者，您希望允许通过可附加到访问令牌的范围来访问API。 因此，我的问题是：

• 您如何定义范围？
• 您是否希望定义的任何作用域仅提供对单个API中资源/方法的访问，还是应该包含跨多个API的访问？
• 与某种API网关工具相比，您在Swagger / OAS或RAML之类的API定义文件中定义范围的可能性有多大？
• 范围是否应与IdP注册和客户端应用程序创建一样，在特定API上下文之外作为单独的OAuth管理工具的一部分进行定义？

我意识到可能对此有几种可能的答案和观点-这正是我所寻找的。

谢谢你的帮助！

Answer 1

我的OAuth2服务器可以创建任意范围。 范围类似于“角色”，它们描述功能组。

OAuth2服务器本质上不知道这些范围是什么。 API资源服务器接收承载令牌，并根据承载令牌找出与之关联的作用域，并决定用户可以使用该作用域或不能使用该作用域，但是对于OAuth2服务器，它们是不透明的字符串。

我们不使用摇摇欲坠/ RAML。