ID令牌或访问令牌是否应用于授权SPA功能?

一些答案:

1. id令牌只是对SPA的一个断言,表明用户已经过身份验证。如果要将角色放入令牌中,请使用访问令牌,其目的是授权

2. API应该控制授权。您的SPA应该询问您的API,关于授权区域,API可以根据访问令牌内容进行回答。您的SPA不应直接读取访问令牌。

3. 只向API发送访问令牌,这是标准的推荐行为

责任

一般来说:

• UI可以决定显示哪些元素
• 当然,他们用于此目的的数据需要来自可靠的来源
• ui可以从id标记中读取角色,并使用它来控制要显示的内容
• 但是API还需要角色信息来授权请求

如果希望在UI和API中同时使用角色信息,则默认选项是将角色添加到id令牌和访问令牌中。

然而,这并不能很好地扩展,因为在一个真正的商业应用程序中,随着时间的推移,您可能会添加多个类似的规则,并且需要不断地向令牌添加声明。

可扩展性

随着时间的推移,一个更容易管理的更好的选择是UI向其API请求角色+其他数据,因为API无论如何都需要相同的角色信息。

此外,对于ui和api做出的授权决策,令牌不一定是唯一的数据源。我的 blog post on claims 描述一种模式,可用于管理来自多个数据源的声明。