OAuth 访问令牌是用户特定的吗？

Question

我们需要向我们的网络应用程序添加新功能，该应用程序是用 asp.net core 3.1 和 angular 编写的，它可以在 Zoom 中创建新的预定会议（视频会议服务提供商）。目前这是唯一的要求，所以从表面上看，这听起来很简单。事实上，他们的 api 有据可查且易于使用。现在，由于我们在服务器上使用 asp.net core，我们可以使用它的缓存功能，如会话、内存中缓存 (IMemoryCache) 等。我缺少完成图片的知识是关于 OAuth 访问令牌。我不确定 Zoom 颁发的访问令牌是否特定于刚刚通过身份验证/授权并想要创建新会议的用户或我们的网络应用程序（我们称之为网络应用客户端，根据 OAuth 的条款）。所以这里的意思是我们需要为访问令牌选择合适的存储机制。如果是用户级别的，即特定于我们应用程序当前正在使用它的用户，我们需要将令牌存储在 asp.net core 的 Session 存储中，但另一方面，如果令牌也就是说，假设在上一级我们需要全局存储令牌，也许在 asp.net 核心的内存缓存中，IMemoryCahce 的东西。这是我需要了解的主要问题。关于将访问令牌保留在服务器上，这是我从阅读有关该主题的一些材料中了解到的最佳实践。

非常感谢，
阿什隆

Answer 1

要回答您的问题，假设正在使用授权代码流，是的，访问令牌是特定于用户的。这是因为令牌是个人用户在第 3 方 OAuth 提供程序中执行的身份验证的结果。

Although client access tokens are a concept within the OAuth specification，面向用户的第 3 方应用程序通常不会提供广泛的权限，而是坚持以用户为单位（甚至不支持 client_credentials 授权）。