OAuth 范围

作用域是一个字符串（例如 read、orders:write 或 openid），它指定了访问权限的某个范围。客户端请求所需的作用域，用户或策略授予其中一部分或全部权限，而颁发的令牌则携带了已授予的权限集。资源服务器在执行操作之前会检查令牌的作用域，因此，用于读取的令牌不能用于删除操作。

工作原理

作用域以空格分隔的列表形式存在于授权或令牌请求的作用域参数中，并在令牌响应中返回——其范围可能比请求的范围更窄。JWT 访问令牌通常将其包含在作用域或 SCP 声明中；不透明令牌的作用域则通过内省来获取。

误解

令牌必须拥有你请求的权限范围。服务器可能授予的权限范围较少，而客户端如果误以为权限范围齐全，则可能会在远离问题根源的地方出现故障。读取令牌响应中的权限范围字段，并测试当调用需要令牌所缺少的权限范围时会发生什么情况。

点击这里试试

来自 POST /auth/v1/oauth/token令牌响应会显示授予的范围——客户端凭据的读取权限，授权码流程的读写权限——而 POST /identity/v1/introspect会报告 Identity API 令牌的范围。

相关内容

• OAuth 2.0
• HTTP 403 Forbidden

资料来源

• OAuth 2.0 — RFC 6749
• JWT — RFC 7519
• JWT best practices — RFC 8725

其他术语

• OAuth 2.0 — 该标准框架允许应用程序获取有限的访问令牌，而不是处理用户的密码。
• JWT（JSON Web Token） — 以签名 JWS 或加密 JWE 形式表示声明的紧凑格式。
• JWKS — JSON Web 密钥集——发行者发布的公钥，以便任何人都可以验证其签名的代币。
• Bearer 令牌 — 一种凭证，持有者即可获得访问权限——谁持有它就可以使用它。
• 刷新令牌 — 仅用于获取新的短期访问令牌的长期凭证，无需用户再次登录。
• PKCE — 代码交换证明密钥——一次性密钥，可防止被盗的 OAuth 授权码被其他人兑换。

阅读英文版

所有术语 · 测试技巧 · 全部 39 个模拟 REST API

最后更新时间 2026年10月16日