使用OAuth2/OpenID Connect进行身份验证和授权

据我所知，OAuth 2.0规范允许第三方应用程序代表资源所有者或通过允许第三方应用程序代表其自身获得对应用程序的有限访问权

我有一个场景，在这个场景中，我有一个应用程序，我需要用户通过某个IAM提供商进行身份验证。在授权服务器中为每个用户配置角色和权限。我可以查询授权服务器的内省点，并根据范围详细信息，我的应用程序可以决定用户对任何资源的访问

在这种情况下，用户不是资源所有者。用户可以访问的资源类型由我的应用程序决定，而不是用户允许/拒绝应用程序访问资源

由于用户不是资源所有者，在这种情况下可以使用OAuth/OpenId Connect吗？使用WSO2 IAM是否可能

我尝试了WSO2中提供的游乐场示例。用户登录后，会出现一个窗口，询问“游乐场请求访问您的个人资料信息”，并请求用户允许/拒绝。这可以避免吗，因为在我的情况下，用户不允许做出任何决定

如果不是，授权/限制对资源的访问（由授权服务器/资源服务器决定，而不是由用户授予访问权限）的其他选项有哪些

谢谢， 阿尔比·莫肯

在这种情况下，用户不是资源所有者。用户可以访问的资源类型由我的应用程序决定，而不是由用户允许/拒绝应用程序访问资源

在您的场景中，您依赖授权服务器颁发的令牌来访问受保护的资源。受保护的资源是应用程序的。这个应用程序必须有内部机制来验证它接收到的令牌以授予访问权

您的问题的简短答案是-是

您可以在这个场景中使用openID connect。你有两个选择

1。使用带有内省端点的访问令牌

您可以使用访问令牌授予对应用程序的访问权限。客户端应将访问令牌作为承载令牌发送，如中所述。当应用程序端点接收到请求时，可以根据内省端点验证该访问令牌

2.使用ID令牌

ID令牌也可以用作承载令牌。ID令牌是一个JWT（）并且是自包含的。它包含验证机制，如所述，这些机制可以自给自足地允许授权。此外，您还可以检查其包含的声明，以授权最终用户。更多信息可从链接中找到

我尝试了WSO2中提供的游乐场示例。用户登录后，会出现一个窗口，询问“游乐场请求访问您的个人资料信息”，并请求用户允许/拒绝。这可以避免吗，因为在我的情况下，用户不允许做出任何决定

可以禁用“同意”页。根据规范，可以通过如下配置identity.xml来完成：

<SkipUserConsent>true</SkipUserConsent>

true

在他们的书中也有描述

希望这有帮助

p、 s-包含内置XACML引擎。XACML是访问控制的标准。您可以从链接中获得更多信息

在这种情况下，用户不是资源所有者。用户可以访问的资源类型由我的应用程序决定，而不是由用户允许/拒绝应用程序访问资源

在您的场景中，您依赖授权服务器颁发的令牌来访问受保护的资源。受保护的资源是应用程序的。这个应用程序必须有内部机制来验证它接收到的令牌以授予访问权

您的问题的简短答案是-是

您可以在这个场景中使用openID connect。你有两个选择

1。使用带有内省端点的访问令牌

您可以使用访问令牌授予对应用程序的访问权限。客户端应将访问令牌作为承载令牌发送，如中所述。当应用程序端点接收到请求时，可以根据内省端点验证该访问令牌

2.使用ID令牌

ID令牌也可以用作承载令牌。ID令牌是一个JWT（）并且是自包含的。它包含验证机制，如所述，这些机制可以自给自足地允许授权。此外，您还可以检查其包含的声明，以授权最终用户。更多信息可从链接中找到

我尝试了WSO2中提供的游乐场示例。用户登录后，会出现一个窗口，询问“游乐场请求访问您的个人资料信息”，并请求用户允许/拒绝。这可以避免吗，因为在我的情况下，用户不允许做出任何决定

可以禁用“同意”页。根据规范，可以通过如下配置identity.xml来完成：

<SkipUserConsent>true</SkipUserConsent>

true

在他们的书中也有描述

希望这有帮助

---

p、 s-包含内置XACML引擎。XACML是访问控制的标准。您可以从链接中获取更多信息。

是否使用ID令牌？是的，我可以使用ID令牌和访问令牌您可以使用OpenID Connect（ID令牌）进行身份验证，然后检查应用程序中的访问权限。ID令牌可以包含您需要的所有内容（用户名、名称、电子邮件、角色）。您是否使用ID令牌？是的，我可以使用ID令牌和访问令牌您可以使用OpenID Connect（ID令牌）进行身份验证，然后检查应用程序中的访问权限。ID令牌可以包含您需要的所有内容（用户名、名称、电子邮件、角色）。如何使用WSO2IS映射具有权限的角色？我看到，到处都是我的授权