Laravel Passport 发行多个令牌的良好实践

Question

我对 Laravel Passport 以及管理 api access_tokens 的最佳方式有疑问。

目前我们有：

• 由grant_type: password 发出且没有范围的令牌：

    $data = [
         'grant_type' => 'password',
         'client_id' => $client_id,
         'client_secret' => $client_secret,
         'username' => $user->email,
         'password' => $user->password,
         'scope' => '',
     ];
  

• 一个仅用于查看用户图片的令牌，方法如下：

  $token = $user->createToken('User Picture token', ['view-picture'])->accessToken;
  

grant_type: password发布的第一个令牌将仅用于获取个人用户信息。

这是一个好习惯吗？

我们希望限制对资源的访问，如下所示： 一种“消息”资源，包含对其访问令牌的 CRUD 操作，具有特定范围。

所以我们希望每个资源由不同的令牌和不同的范围保护。

个人 access_token 是用来做的吗？

编辑 1：

为了管理用户权限，我们使用 Laravel 的 Gates & Policies。

Answer 1

Laravel Passport 让您能够在几分钟内实现完整的 Oauth2 服务器。这意味着，您可以安装一个完整的服务器，不仅可以管理对您自己的应用程序的访问，还可以管理第三方应用程序的访问。

当我说“你自己的应用”时，我指的是由你和/或你的团队开发的那些。 “第三方应用程序”是指由有权访问您的 API 的其他开发人员开发的应用程序。令牌范围是限制此第三方应用可以代表您的用户执行的操作的好方法。

以 Facebook 为例。如果您想通过 Facebook 在您的应用中实现访问，您的用户将需要允许您的应用访问他们的个人资料数据，以便检索他们的详细信息以有效地登录您的系统。

来自Passport documentation：

令牌范围

范围允许您的 API 客户端在请求授权访问帐户时请求一组特定的权限。例如，如果您正在构建电子商务应用程序，则并非所有 API 使用者都需要下订单的能力。相反，您可以只允许消费者请求授权以访问订单发货状态。换言之，范围允许您应用程序的用户限制第三方应用程序可以代表他们执行的操作。

现在，如果您的 API 将仅由您的应用使用，我的意思是，如果您不打算向除您的团队以外的任何人公开或公开您的 API 蓝图，您只需授权用户具有角色和权限和/或实施 Laravel Gates/Policies。

然后您可以通过令牌识别用户并检查用户是否具有正确的权限/角色来执行特定操作或访问某些数据（或部分数据）。