Fatal编程技术网
  • oauth-2.0/
  • Oauth 2.0 Kong OAuth2插件客户端凭据流提供\u密钥未验证

Oauth 2.0 Kong OAuth2插件客户端凭据流提供\u密钥未验证

oauth-2.0

Oauth 2.0 Kong OAuth2插件客户端凭据流提供\u密钥未验证,oauth-2.0,kong,kong-plugin,Oauth 2.0,Kong,Kong Plugin,我已经在香港用客户端凭据流配置了Oauth2插件。所有端点都是可访问的，并且它可以按预期工作，但我可以从{service}/oauth2/token端点请求访问令牌，而无需在post请求中提供provision_密钥。（即使我仅将grant_类型、作用域、客户机_id和客户机_机密作为参数发布，它也会返回有效令牌） 我需要在插件配置上启用什么吗？或者它是以某种方式定义的，对于客户端凭据流（即令牌端点），不需要provision\u密钥吗 仅当您还希望在请求中指定已验证的用户ID时，才需要设置密钥

我已经在香港用客户端凭据流配置了Oauth2插件。所有端点都是可访问的，并且它可以按预期工作，但我可以从{service}/oauth2/token端点请求访问令牌，而无需在post请求中提供provision_密钥。（即使我仅将grant_类型、作用域、客户机_id和客户机_机密作为参数发布，它也会返回有效令牌）

我需要在插件配置上启用什么吗？或者它是以某种方式定义的，对于客户端凭据流（即令牌端点），不需要provision\u密钥吗

仅当您还希望在请求中指定
已验证的用户ID
时，才需要
设置密钥。这是OAuth2的一个特定于香港的扩展，它并不真正符合标准，这就是为什么我猜他们选择不真正记录它的原因

如果您将客户端凭据用于其预期用途-服务器到服务器后端通信，而没有明确的用户上下文-Kong将接受不带
设置密钥的令牌请求，正如OAuth 2.0 RFC指定的那样