OAuth2(承载)令牌如何转换为ACL

Question

我最近一直在研究OAuth2,我想我理解授权过程.

但是,我似乎不明白的是,一旦授权已经发生并且已经建立了access_token一个refresh_token并且已经建立了呼叫,那么如何根据access_token请求是否可以访问特定资源做出决定？

即,将令牌发送到服务器以请求照片.服务器上的逻辑如何根据给定的令牌确定是允许还是拒绝访问该特定照片？

Answer 1

通常access_token是不透明的工件。没有任何内在因素将其与资源（例如特定照片）相关联。当授权流程开始时，您通常会请求一个定义scope您所需访问权限的特定信息。如果资源所有者同意此访问，则请求成功。用户也可以撤销访问权限。

所有这些都是应用程序特定的代码。每个应用程序都定义了它们的范围以及它们如何执行检查。

您可能想以授权服务器为例进行探索。