限制OAuth 2.0中用户/消费者组合的同时授权

Question

我正在构建一个将充当OAuth 2.0提供程序的服务。 我希望能够限制用户对特定使用者的同时授权数量。

例如，消费者应用程序的每个用户应该只能拥有该消费者的三个同时授权，因此只能同时使用三个客户端。 当他们尝试第四次授权时，应该提示用户删除现有客户端的授权，然后才能继续。

以我对OAuth的有限经验来看，消费者应用程序的令牌对于用户和消费者组合始终是相同的，因此无法撤消对特定客户端（仅消费者）的访问。

OAuth 2.0中是否有任何规定可以使客户端标识符成为该组合的一部分，从而成为令牌的一部分？ 由于用户代理流程的原因，我对OAuth 2.0特别感兴趣。

还是我完全将错误的树包裹起来，是否应该考虑在OAuth之上放置其他系统？

Answer 1

似乎您可以生成特定于授权的访问令牌，并包含有关每个客户端/授权实例在令牌本身（编码形式为-1等）或应用程序内（每个访问令牌都是唯一的）引用的元数据。 实际上，这样做可能被认为是对大多数提供程序实现的改进，因为可以更轻松地识别单个客户（例如滥用等）。

令牌不需要采用任何特定的格式，因此您可以随意使用所需的语义信息来重载它们，并使UI和UX匹配。