使用2-Legged认证时如何限制访问单个ACC项目

是否必须使用3-Legged Authentication？ #

不是必须，但如果要实现精准的项目级权限管控，3-Legged授权是更合规可靠的方案。

• 2-Legged（Client Credentials）的核心局限：这种授权对应的是租户级系统账户，默认拥有租户内所有项目的访问权限，目前无法通过ACC后台或API直接将其权限范围限制到单个/指定项目。
• 服务用户的定位：你提到的“服务用户”本质是专门为自动化流程创建的普通用户账号（可设置为机器人账号），给该账号分配特定项目的角色权限（如项目文档查看者、编辑者等），再通过3-Legged授权让工具以该用户身份访问API，就能实现项目级权限隔离。

如何实现完全自动化的无人值守3-Legged流程？ #

关键是通过持久化Refresh Token实现自动Token刷新，全程无需人工介入：

• 首次手动完成授权：用服务用户账号登录Autodesk的授权页面，获取初始的Access Token和Refresh Token（仅需操作一次）。
• 集成自动刷新逻辑：在后端工具中添加代码，监测Access Token的过期时间，一旦过期，就用Refresh Token调用Autodesk的token接口，自动获取新的Access Token。
• 绑定项目权限：在ACC后台给该服务用户分配目标项目的具体权限，工具通过该用户身份访问API时，就只能操作该项目内的文件资源。

替代方案：2-Legged下的间接权限限制 #

如果暂时不想切换到3-Legged，可通过业务逻辑层过滤实现间接限制：

• 在工具代码中添加校验逻辑，仅允许处理指定项目的资源ID，即使账户有租户级权限，也在代码层面拦截其他项目的请求。
• 注意：这种方式属于“软限制”，安全性不如3-Legged结合服务用户的权限管控，仅适合临时场景。

内容的提问来源于stack exchange，提问作者oli