我们可以使用多个资源服务器配置单个OAuth2客户端吗？

Question

我在我的环境中部署了3个不同的应用程序（资源服务器），我的一个客户端需要访问所有这三个应用程序。什么是理想的做法？我应该将我的客户端分别注册到每个资源服务器，还是应该向所有资源服务器注册同一个客户端？

如果我单独注册，则需要维护三个ClientId和Secret，但对于第二种情况，我只需要一个客户端凭证。

处理这种情况的理想方式是什么？有没有OAuth标准，他们保留了所有这些细节？

Answer 1

假设资源服务器都与相同的授权服务器相关联，您应该向该授权服务器注册一个客户端。

如果资源服务器都是同一安全域的一部分（即由同一方操作），那么单个访问令牌就足以访问全部3个资源服务器。

如果资源服务器由不同方控制，并且您希望避免它们之间泄露访问令牌，那么您应该为每个资源服务器使用1个访问令牌，将不同范围与这些资源服务器中的每一个相关联，并让您的客户端询问通过“范围”请求参数为特定的一个。