¿Cómo puede un servidor de recursos OAuth2 relacionar un token de acceso con el usuario que lo autorizó para evitar el acceso no autorizado a otros recursos del usuario?

Puede implementar OAuth 2.0 Token Introspection como una forma para que el servidor de recursos consulte el servidor de autorización para los metadatos del token.

Usando campos de respuesta de introspección definidos, podría transportar la identidad del Propietario del recurso en los campos sub y username .

Por otra parte, diría que si el token es realmente opaco, entonces no solo puede, sino que también debe implementar la introspección, ya que es una forma de verificar.

• Si el token es realmente emitido por el servidor de autorización correcto, puede asegurarse de que también mediante la criptografía, pero no las cosas posteriores
• Si el token sigue activo
• Si el token se emitió al cliente usándolo
• Si el alcance del token cubre la operación solicitada

oAuth 2.0 no tiene un mecanismo incorporado para hacer esto, sin embargo, hay algunos esquemas que podrías emplear para hacer que esto funcione.

1. use una capa de autenticación en la parte superior de oAuth (como openID Connect) para recuperar la información de usuario que necesita

2. Agregue un alcance por detalles de usuario para acceder a dichos detalles de usuario y solo conceda ese alcance para ese usuario. Solo tenga en cuenta las filtraciones de información que pueden causar.

3. Use el proveedor de Autorizaciones como guardián de puerta y haga que proporcione los detalles solicitados para ese usuario específico, no el servidor de recursos donde se almacenan las imágenes. una especie de salida, pero también funcionaría.

OAuth trata con autorización : el token solo da una indicación de los permisos delegados. También puede tener información sobre el usuario que delegó el permiso, pero en realidad no representa a un usuario. Depende del servidor de recursos dar sentido a los permisos y limitar el uso en consecuencia.

Si debido a la naturaleza de sus servidores, esto no se puede configurar sin la identidad del usuario, necesitará las soluciones de autenticación que funcionan junto con OAuth (por ejemplo, OpenID Connect).

La autorización se realiza con la implementación de la redirección que preserva la autenticidad del servidor de aplicaciones y el servidor de autorizaciones.

OAuth admite diferentes tipos de flujos de trabajo. El tipo de concesión de código de autorización es el más utilizado, ya que está optimizado para aprovechar las capacidades de redireccionamiento de un navegador web.

Puede encontrar más información con el siguiente recurso: -

enlace