OAuth2.0如何实现授权？

Question

我现在正在研究该主题，据我了解，OAuth 2.0 应该是 Web 服务器中用户授权的协议。当涉及到身份验证时，它非常简单 - 客户端向身份提供者发送请求，接收包含附加信息的令牌（例如 JWT），然后他将该令牌发送到应用服务器，应用服务器使用验证令牌身份提供者。一切都很好，直到这里。

我的问题是授权 - 知道用户在应用服务器中拥有哪些权限。据我了解，请求的“范围”部分是指用户允许应用服务器在身份提供者中对其实体执行的操作，因此它是授权但它仅授权应用服务器。
该协议是否包含应用服务器授权客户端的任何方式，或者它假设每个用户的角色和范围等数据将由应用服务器管理？我猜这样的数据可以由身份提供者在令牌上发送，但是每个用户的权限是如何通过身份提供者管理的呢？它是协议的一部分吗？如果不是，为什么叫“授权协议”？

Answer 1

OAuth2 的目的是允许客户端应用程序代表用户调用 API 服务器。范围定义客户端应用程序可以对 API 服务器上的用户数据执行什么操作。这称为委托授权，因为用户将一些权限委托给客户端应用程序。

现在，一些授权服务器允许您为资源服务器定义角色，并将这些角色作为声明包含在访问令牌中。如何解释这些角色是授权服务器和资源服务器之间的隐含契约。角色不是OAuth2 RFC 的一部分。

Answer 2

除了 MvdD 所说的，授权意味着用户授予客户端应用程序对该用户拥有的受保护资源的一些访问权限。

当用户被发送到授权服务器进行身份验证时，授权服务器应该询问类似“您允许此客户端应用程序访问您的受保护资源吗？”这样的问题。有时您会看到“X 应用程序想要查看您的电子邮件、地址、电话号码……”

范围指定允许的操作。允许客户端应用访问受保护资源的访问令牌。资源服务器应该只允许与访问令牌中的范围关联的操作。