使用Spring Security針對REST服務器為Web Client授予Oauth2密碼

Question

我們正在開發連接到我們自己的REST服務器的Javascript Web客戶端。 我們希望用戶使用REST服務器上的帳戶登錄Web應用程序，以便可以授權他們根據其權限和角色對資源執行HTTP操作。

問題是：當用戶使用通過密碼授予收到的訪問令牌訪問REST資源時，spring security是否會隱式地表現為在請求期間用戶使用其帳戶登錄？ 也就是說，然后可以使用@PreAuthorize批注保護我的資源以對當前主體應用授權規則嗎？

Answer 1

因此，答案是肯定的。 在uersname-password流中，授予登錄用戶的令牌將用於根據其余層對他進行身份驗證。 然后，除了OAuth提供的保護資源的安全性之外，這還可以用於在應用程序內部進一步授權他。

雖然看起來使用密碼授予，但登錄的用戶將僅具有用戶角色，而沒有客戶端角色。 客戶端和用戶都必須具有OAuth要求的資源角色。