FusionAuth授权

Question

我正在开发，这个API公开了一个"/verify“端点来验证令牌和对特定资源的访问。在FusionAuth中，我将角色附加到我的用户。那么，是否有一种方法来验证用户是否具有该角色，这样我就可以让他们通过？

Answer 1

在FusionAuth中，访问令牌是JWT，它包含如下所示的JSON有效负载：

{
  "applicationId": "3c219e58-ed0e-4b18-ad48-f4f92793ae32",
  // ...
  "roles": [
    "necessary_role",
    "other_role"
  ],
  // ...
}

要将该JSON从JWT中取出，您可以将其自己破译或传递给少数几个返回可读JSON的FusionAuth端点之一：

• 内省 /oauth2/introspect
• UserInfo /oauth2/userinfo
• 验证 /api/jwt/validate

一旦您有了可读的JSON，您只需检查roles数组中所涉及的角色：

if (jwt.roles.contains("necessary_role") {
  // handle user with necessary_role
} else {
  // handle user without necessary_role
}