如何验证oAuth2 access_token是否被Spring安全性发布给它的同一客户端使用？

Question

我开发的Spring REST API将作为后端.它将由Web应用程序和移动应用程序访问.为了使这个API安全,我使用了Spring的oAuth2身份验证.我知道通过使用这种架构,我的API是安全的,但是,有没有办法检查access_token是否来自发出它的同一个客户端(应用程序)？

Answer 1

在开发类似的应用程序（尽管不是在 Spring 中）时，我遇到了一些相同的问题。我暂时决定做的是在每个用户请求上生成一个新令牌并将其作为响应标头传递。这至少意味着用户不可能同时从 2 个不同的客户端登录。

我不确定这对你是否有帮助。我很想知道这里会提供哪些其他解决方案。