Может ли клиентский мандат предоставить токен доступа для отображения пользователю?

Question

Я хочу использовать грант Credentials клиента в oauth2 для обеспечения API.

Однако я хочу, чтобы маркер доступа отображался для отдельного пользователя (выбранного мной на фазе доверия/настройки вне диапазона, где я разделяю ключ/секрет).

Это проблема? Я понимаю, что токен доступа с использованием разрешения на учетные данные клиента не должен находиться в контексте пользователя ... Неправильно ли это связывать его?

Answer 1

Это не проблема как таковая, по крайней мере безопасная, хотя вы можете назвать ее плохой практикой. Если вы убедитесь, что вы назначаете учетные данные клиента таким образом, чтобы гарантировать, что он будет привязан точно к одному пользователю, для которого разрешен этот клиент, нет проблем. Обратите внимание, что внеполосный процесс для достижения этого - именно то, что дает разрешение на авторизацию, дает вам внутриполосный доступ.

Вам также необходимо убедиться в том, что учетные данные клиента отменены, когда требуются разрешения для изменения пользователя или удалена учетная запись пользователя, так же, как обычный сервер авторизации сделает для своих токенов обновления.