如何让我的 Auth0 权限进入 AWS HTTP API Jwt 授权方的访问令牌的范围声明？

Posted 2023-03-08

【中文标题】如何让我的 Auth0 权限进入 AWS HTTP API Jwt 授权方的访问令牌的范围声明？

【英文标题】：How can I get my Auth0 permissions into the scope claim of the access token for an AWS HTTP API Jwt Authorizer?

【发布时间】：2020-06-26 15:38:12

【问题描述】：

我正在尝试让 AWS HTTP API JWT 授权器在端点上具有范围，以便与我的 Auth0 访问令牌愉快地工作。

JWT 授权器在访问令牌的“范围”中查找必要的范围。我认为这用于细粒度授权。但是，Auth0 在“权限”数组中返回权限，而不是在令牌的“范围”中。

有没有办法让我的权限显示在访问令牌的“范围”中，以便我可以使用 JWT 授权器来处理细粒度的权限？或者我是否需要让我的 lambda 函数在经过 JWT 授权方之后剖析经过身份验证的 JWT？

【参考方案1】：

有没有办法让我的权限显示在访问令牌的“范围”中，以便我可以使用 JWT Authorizer 来处理细粒度的权限？

这是个坏主意。 JWT 令牌很小（根据this answer，

https://auth0.com/blog/on-the-nature-of-oauth2-scopes/

范围用于表达应用程序可以代表给定用户执行的操作。 (...) 范围用于处理委托方案 (...) 重载范围以表示分配给应用程序的实际权限（与上面提到的委托权限相反）是有问题的

我为 Auth0 工作，我们正在构建一个处理细粒度授权的解决方案。见https://zanzibar.academy/