OpenId 中范围的哪个粒度连接？

Question

我有一个身份提供者、一些客户端应用程序和一堆作为 RESTful 服务实现的 API 资源。一些客户端需要一个 API，而其他客户端可能需要多个 API。也可能存在“API 间依赖关系”，例如 客户端需要 API X，API X 需要 API Y。

在这种情况下，合适的范围粒度是多少？有没有最佳实践？

我可以想象以下解决方案：

1. 每个 API 一个范围：可能会导致大令牌。此外，在上面的示例中，客户端并不知道它实际上也需要 API Y。
2. 适用于所有 API 的一个范围：这会成功（用户同意的粒度不是问题）。然而，客户端最终会得到一个它实际上并不需要的超级强大的访问令牌。
3. 每个 API 一个范围，但使用引用令牌：与解决方案 1 一样，但令牌仍然很小。这将导致对自省端点的大量调用。

Answer 1

在拥有大量应用的大型企业实施中，我们经常使用 URI 作为范围，它们可能非常精细。每个应用程序或 API 的 CRUD 都是典型的。

我们还看到一些授权服务器提供来自 LDAP 的组 CN（有时 50 或更多）作为范围。

请记住OAuth 2.0 Incremental Authorization。 Google has an active implementation.