oauth2 授权与scope结合问题

Question

求大佬指点。。。 使用的springSecurityOauth2框架，基于数据库存储。 问题是clientDetail的客户端范围scope与userDetailsService查询的用户的RBAC权限不能建立联系，后者将查询数据库内该用户所有的权限。 假定系统有web端和移动端，用户现在通过web端登陆，目前情况下，生成的token的scope是web，authorities却包含了移动端的资源授权。虽然对用户来说，这都是他的权限，但对于token来说，是不是scope越界了呢？如果token被别人获取，那就不光可能窃取web范围的资源，移动端也可以窃取了啊。 想问userDetailsService的loadByUsername方法授权时，怎样可以同时获取到当前请求的scope，只授予对应scope范围的权限呢？或者资源服务器鉴权时，如何同时卡住hasScope和hasAuthority呢（发展只会后设置的生效）？

Answer 1

不知道你这个问题是否已经解决, 如果还没有解决的话:

• 建议你看下这篇博客👉 ：OAuth2记录（密码模式）

如果你已经解决了该问题, 非常希望你能够分享一下解决方案, 以帮助更多的人 ^-^