如何限制用户仅使用特定客户端登录？

Question

如何限制用户仅使用特定客户端登录？

3

我是一位能翻译文本的助手。

我有一个资源服务器和几个实现Oauth2安全性的客户端。

我正在使用的流程是（我不知道正确的名称）：

1) The resource owner try to access a web application (client and resource server).
2) This web application can't even show the index page so the resource owner is redirected 
     to the OAuth2 (Authorization) server passing a client_id and a password in a Basic Auth POST.
3) The Authorization server show a login page and the user enter the username and password.
4) The Authorization server send the user back to the web application and he can
     access the resources (web pages).

我有一个数据库，其中包含一些表。

一切都非常顺利。我需要什么？oauth_client_details（应用程序表）和users之间没有逻辑关系，因此任何注册用户都可以访问任何已注册的客户端。

我需要限制用户只能访问我选择的应用程序。

奖励：有人能告诉我我正在使用的正确OAuth流名称吗？

- Magno C

1个回答

网页内容由stack overflow 提供, 点击上面的

可以查看英文原文，
原文链接

- Kavindu Dodanduwa · Accepted Answer

很遗憾，您描述的流程与OAuth 2规范定义的任何流程不完全匹配。

按照OAuth 2.0协议，授权请求的HTTP POST是有效的。但是我没有看到在授权请求中发送客户端凭据。

我能想到的最接近的是客户端凭据授权，但是该流程中没有步骤3。因此，我认为您正在使用由您的组织定义的流程。

现在，当涉及到客户端应用程序与最终用户的关联时，我认为您需要另一个表来存储客户端应用程序和用户标识符的映射关系。只有在请求的客户端应用程序已启用特定的最终用户身份时，您的OAuth服务器才会发出令牌。我不是数据库专家，但表格应如下所示：

**Oauth_cliet_details_tab**
---------------------------------------------------
| Client_ID | Client_Secret | Redirect_URL | etc..|
---------------------------------------------------


**Users_tab**
--------------------------------------------------------
|User_ID | User_Name | Email | Hashed_Salted_PWD| etc...
--------------------------------------------------------

现在您的客户端应用程序权限选项卡应该如下所示。

 **User_client_permisison_tab**
 ----------------------
 |User_ID | Client_ID |
 ----------------------

请注意，UserID是来自Users_tab的外键，而Client_ID是来自Oauth_cliet_details_tab的外键。 User_ID和Client_ID都创建了一个复合主键。

因此，当您的OAuth服务器收到请求时，必须验证客户端凭据和最终用户凭据，然后使用客户端ID和最终用户ID，检查此表以查找现有记录以允许发出令牌。您必须以某种方式向此表添加和删除条目，这可能是配置步骤。