使用OAuth2在Spring中更改角色時維護令牌

Question

我使用spring-security-oauth2來允許用戶使用令牌訪問API。但是，我意識到使用生成的令牌更改給定用戶的訪問角色不會對其產生任何影響，這意味着如果我希望該令牌具有新角色，則需要爲用戶重新生成該角色。有沒有辦法做到這一點，而無需爲用戶重新生成令牌？或者至少有一種方法可以爲同一個用戶臨時使用2個令牌，並在之後刪除一個令牌。

謝謝大家， 若昂

Answer 1

如果你的資源服務器可以訪問用戶數據庫（或可回調到auth服務器），那麼他們可以查看帳戶詳細信息（角色等），一旦他們有驗證令牌。您將不得不添加額外的AuthenticationProcessingFilter或自定義它使用的AuthenticationManager。