創建授權令牌及其可以訪問的內容時的最佳實踐

Question

考慮以下：

1. 登錄到一個安全的網站。

2. 登錄后，顯示指向另一個更安全頁面的鏈接。

3. 登錄后，顯示按鈕“全部擦除”。

一方面，您可以創建一個授權令牌 T1 用於訪問項目 1，另一個令牌 T2 用於訪問項目 2 和令牌 T3 用於訪問項目 3。這意味着如果用戶希望能夠執行所有這三個操作，則用戶必須擁有所有三個令牌（T1、T2、T3）。

另一方面，您可以為項目 1 創建授權令牌 T1。然后您可以創建令牌 T2，它允許您同時執行項目 1 和項目 2。令牌 T3 允許您執行所有三項。 這意味着用戶只需擁有令牌 T3 即可完成這三項操作。

設計授權令牌及其可以訪問的內容時的最佳做法是什么？

Answer 1

不確定最佳實踐，但對我來說，如果您可以更清楚地提供您的用例，那么實施授權令牌似乎會更好。

此外，您可以使用 OAuth2.0 來幫助簡化安全實施。 特別是對於 OAuth2.0，您可以有一個通用的身份驗證提供程序來證明身份，然后基於身份令牌將其與您的應用程序交換以獲得特定於該用戶身份的授權令牌。

這樣一來，用戶只需登錄一個提供商，並通過 OAuth 自動獲得對他們列入白名單的應用程序的授權。