限制 OAuth 2.0 流程的范围

Question

我想在我的代码中设置 OAuth 2.0 流。

我希望我的代码仅限于特定范围（即使有人不小心编写了一些额外的代码来请求额外的代码）。

假设我希望我的代码只能访问 facebook 中的照片。

是向授权服务器请求期间唯一限制范围的地方，例如

https://facebook.com/dialog/oauth?response_type=code&client_id=CLIENT_ID
  &redirect_uri=REDIRECT_URI&scope=email&state=1234zyx

或者有没有办法在发出client_id和client_secret时强制执行此限制，以便以下请求最终失败？

https://facebook.com/dialog/oauth?response_type=code&client_id=CLIENT_ID
  &redirect_uri=REDIRECT_URI&scope=email,posts&state=1234zyx

我的用例是针对谷歌 API 的。

Answer 1

没有提供足够的详细信息来了解您要完成的工作； 但一般来说：

• OAuth 客户端可以请求任何所需的范围。
• 资源所有者（如果使用 API，可能是最终用户“同意屏幕”或 Google）可能不会委托部分或全部请求的范围。
• 由于许多原因，授权服务器可能会忽略部分或全部请求的范围。