如何将我的 Auth0 权限获取到 AWS HTTP API Z74334B5D32B7EA995ABF4 的访问令牌的 scope 声明中？

Question

我正在尝试获得一个 AWS HTTP API JWT 授权器，其范围在端点上，以便愉快地使用我的 Auth0 访问令牌。

JWT 授权器在访问令牌的“范围”中查找必要的范围。 我认为这用于细粒度授权。 但是，Auth0 在“权限”数组中返回权限，而不是在令牌的“范围”中。

有没有办法让我的权限显示在访问令牌的“范围”中，以便我可以使用 JWT 授权器来处理细粒度的权限？ 或者我需要让我的 lambda function 剖析经过身份验证的 JWT 在它通过 Z1D19D1FADBD914503EE98AuthorizerC 之后吗？

Answer 1

有一种方法可以将您的用户权限添加到您的令牌的scope声明中。 该线程详细介绍了实现此目的的两种方法， 线程：

1. 添加读取这些权限并将它们复制到您的 access_token scope声明的规则。

function (user, context, callback) {

  var ManagementClient = require('auth0@2.17.0').ManagementClient;
  var management = new ManagementClient({
    token: auth0.accessToken,
    domain: auth0.domain
  });

  var params = { id: user.user_id};

  management.getUserPermissions(params, function (err, permissions) {
    
    var permissionNames = [];
    permissions.forEach(function(obj) { permissionNames.push(obj.permission_name); });
    
    if (err) {
      // Handle error.
    }
    context.accessToken.scope = permissionNames;    
    callback(null, user, context);
  });
  
}

2. 将 RBAC 功能与 TOKEN_DIALECT 一起使用。 请注意，这方面的信息非常稀少，这篇链接在它下面的帖子是我找到的唯一一条信息。 此外，我无法使其始终如一地工作，因此我个人使用此处列出的方法 #1。 TOKEN_DIALECT

在理想的世界中，选项 #2 确实是最好的并且配置最少，但我对此有疑问。

Answer 2

有没有办法让我的权限显示在访问令牌的“范围”中，以便我可以使用 JWT 授权器来处理细粒度的权限？

这是一个坏主意。 JWT 令牌很小（根据此答案<8 kb）。 当你拥有一百万资源时会发生什么？ 你的“权限数组”也会有一百万个项目吗？

https://auth0.com/blog/on-the-nature-of-oauth2-scopes/

范围用于表达应用程序可以代表给定用户执行的操作。 (...) 范围用于处理委派方案 (...) 重载范围以表示分配给应用程序的实际权限（与上面提到的委派权限相反）是有问题的

我为 Auth0 工作，我们正在构建一个处理细粒度授权的解决方案。 见https://zanzibar.academy/