本页面适用于 Apigee 和 Apigee Hybrid。
查看 Apigee Edge 文档。
您可以使用 RevokeOAuthV2 政策按最终用户 ID 和/或应用 ID 撤消 OAuth 2.0 访问令牌。最终用户是指调用 API 的应用的用户。
何时将用户 ID 存储在访问令牌中
默认情况下，访问令牌中不包含用户 ID。有时，将用户 ID 存储在访问令牌中很有用。例如：
- 您的网站或应用的一项功能，可供用户查看他们已获授权使用哪些第三方应用，并提供撤消对这些应用的访问权限的选项。
- 允许授权用户撤消与特定开发者应用关联的所有访问令牌的功能。
关于 OAuth 访问令牌
默认情况下，当 Apigee 生成 OAuth 2.0 访问令牌时，令牌格式如下所示：
{ "issued_at" : "1421847736581", "application_name" : "a68d01f8-b15c-4be3-b800-ceae8c456f5a", "scope" : "READ", "status" : "approved", "api_product_list" : "[PremiumWeatherAPI]", "expires_in" : "3599", //--in seconds "developer.email" : "tesla@weathersample.com", "organization_id" : "0", "token_type" : "BearerToken", "client_id" : "k3nJyFJIA3p62DWOkLO6OJNi87GYXFmP", "access_token" : "7S22UqXGJDTuUADGzJzjXzXSaGJL", "organization_name" : "myorg", "refresh_token_expires_in" : "0", //--in seconds "refresh_count" : "0" }
注意事项：
- application_name 字段包含与令牌关联的应用的 UUID。如果启用按应用 ID 撤消 OAuth 2.0 访问令牌的功能，则这是您使用的应用 ID。
- access_token 字段包含 OAuth 2.0 访问令牌值。
- 默认 OAuth 访问令牌中没有最终用户 ID 的字段。
如需按最终用户 ID 撤消 OAuth 2.0 访问令牌，您必须配置 OAuth 2.0 政策，以便在令牌中包含用户 ID。当您配置政策以将最终用户 ID 添加到令牌后，该令牌会作为 app_enduser 字段包含在内，如下所示：
{ "issued_at" : "1421847736581", "application_name" : "a68d01f8-b15c-4be3-b800-ceae8c456f5a", "scope" : "READ", "app_enduser" : "6ZG094fgnjNf02EK", "status" : "approved", "api_product_list" : "[PremiumWeatherAPI]", "expires_in" : "3599", //--in seconds "developer.email" : "tesla@weathersample.com", "organization_id" : "0", "token_type" : "BearerToken", "client_id" : "k3nJyFJIA3p62DWOkLO6OJNi87GYXFmP", "access_token" : "7S22UqXGJDTuUADGzJzjXzXSaGJL", "organization_name" : "myorg", "refresh_token_expires_in" : "0", //--in seconds "refresh_count" : "0" }
配置政策
如需按用户 ID 撤消令牌，您必须先配置 OAuth 2.0 政策，以便将用户 ID 添加到访问令牌。将最终用户 ID 加入访问令牌后，您就可以按最终用户 ID 撤消令牌了。
要将政策配置为将最终用户 ID 包括在访问令牌中，您必须指定包含最终用户 ID 的输入变量。使用 <AppEndUser> 标记指定变量：
<OAuthV2 async="false" continueOnError="false" enabled="true" name="GenerateAccessTokenClient"> <DisplayName>OAuth 2.0.0 1</DisplayName> <ExternalAuthorization>false</ExternalAuthorization> <Operation>GenerateAccessToken</Operation> <SupportedGrantTypes> <GrantType>client_credentials</GrantType> </SupportedGrantTypes> <GenerateResponse enabled="true"/> <GrantType>request.queryparam.grant_type</GrantType> <AppEndUser>request.header.appuserID</AppEndUser> <ExpiresIn>960000</ExpiresIn> </OAuthV2>
以下是配置为按 EndUserId 撤消访问权限的示例 RevokeOAuthV2 政策：
<?xml version="1.0" encoding="UTF-8" standalone="yes"?>
<RevokeOAuthV2 continueOnError="false" enabled="true" name="GetOAuthV2Info-1">
<DisplayName>Get OAuth v2.0 Info 1</DisplayName>
<EndUserId ref="request.header.appuserID"></EndUserId>
<Cascade>false</Cascade>
</RevokeOAuthV2>另请参阅撤消 OAuth V2 政策。
下面的示例命令会生成一个令牌，并通过 appuserID 标头传递用户 ID：
curl -H "appuserID:6ZG094fgnjNf02EK" \ -H "Content-Type: application/x-www-form-urlencoded" \ -H "Authorization: Basic c3FIOG9vSGV4VHo4QzAyg5T1JvNnJoZ3ExaVNyQWw6WjRsanRKZG5lQk9qUE1BVQ" \ -X POST "https://apitest.acme.com/oauth/token" \ -d "grant_type=client_credentials"
您可以通过其他方式将信息作为请求的一部分进行传递。例如，作为替代方案，您可以：
- 使用表单参数变量：request.formparam.appuserID
- 使用提供最终用户 ID 的流变量