Spring oauth2 范围与权限（角色）

Question

我正在使用 Spring Security OAuth2，目前实现了 client_credentials 和密码授权类型。我注意到一个客户既有范围又有权限。有人可以解释一下有什么区别吗？更具体地说，我使用的是 JDBCTokenStore，并且数据库模式有一个 oauth_client_details 表。

还有，

在 oauth_client_details 表中，我不确定以下字段是什么 用于：

web_server_redirect_url、access_token_validity、refresh_token_validity

一些澄清将非常有帮助和赞赏。

Answer 1

我注意到一个客户既有范围又有权限

客户端只有范围，但我们可以考虑/将其用作权限（角色）。这是因为 OAuth2 规范没有解释范围的具体用法。

考虑到这一点，用户授权 Twitter 将用户的推文发布到 Facebook。在这种情况下，Twitter 将有一个范围 write_facebook_status。虽然用户有权更改自己的个人资料，但这并不意味着 Twitter 也可以更改用户的个人资料。换句话说，范围是客户权限/角色，而不是用户的权限/角色。

web_server_redirect_url

授权成功后，授权服务器将使用它来将请求重定向到其原始 URL 或回调（授权授予）。

access_token_validity

这是 token_access 过期时间，以秒为单位。设置为 -1 或 0 表示无限。如果您将其设置为 60，则 1 分钟后您的 token_access 将无效。您必须通过授权过程请求新令牌或使用 refresh_token。

refresh_token_validity

这是 refresh_token 过期时间。