Forge APS限制第三方Hub访问级别/可见性——自定义集成问询

核心防范逻辑：应用授权绑定具体应用而非开发者 #

Autodesk APS/BIM 360的Hub授权是绑定到应用的Client ID，而非开发者个人账号。当合作伙伴通过自定义集成给你的应用授予Hub访问权限时，这个权限仅对该应用有效——开发者如果用同一套凭证注册新应用，新应用的Client ID不同，旧的Hub授权不会自动生效，无法访问目标Hub内容。

间接限制认证类型的可行方案 #

目前平台没有直接在Hub授权环节选择允许认证类型的选项，但可以通过以下方式实现你的需求：

• 从应用注册层面禁用2-legged auth：在开发者门户注册应用时，仅勾选3-legged auth所需的权限范围（如data:read、data:write等用户上下文相关的scope），不启用2-legged auth的scope。这样该应用根本无法发起2-legged请求，从根源上杜绝风险。
• 最小化Hub授权权限：给应用授权时，不要授予整个Hub的全局权限，仅授予你们参与协作的特定项目的访问权限，并设置为协作所需的最小权限级别（如仅查看、仅编辑指定模型）。即使后续出现异常，也只会影响授权的项目，而非整个Hub。
• 监控API调用日志：通过开发者门户查看应用的API调用记录，一旦发现未授权的访问行为（如2-legged请求访问非协作项目），可以立即撤销该应用在Hub的授权。

适配云协同场景的建议 #

针对你和合作伙伴的Revit云协同场景，建议：

1. 让合作伙伴给你的特定应用（而非开发者）授予Hub内对应协作项目的权限，而非整个Hub权限。
2. 应用全程使用3-legged auth，确保用户只能看到自己有权限的项目，符合“不访问未参与项目”的要求。
3. 注册应用时禁用2-legged auth的scope，彻底避免该应用通过2-legged方式访问Hub内容的可能。

内容的提问来源于stack exchange，提问作者KFielding