能否用Doorkeeper生成仅适用于单个API端点的一次性访问令牌？

完全可以实现，核心思路是借助Doorkeeper的**作用域（Scopes）**机制，配合端点级的权限验证，生成仅能访问指定API的令牌。具体步骤如下：

• 定义专属作用域
  在Doorkeeper初始化配置文件（config/initializers/doorkeeper.rb）中，为目标端点添加专属作用域。比如要限制的是/api/v1/protected/one-time-report，就添加：

  Doorkeeper.configure do
    default_scopes :public
    optional_scopes :view_one_time_report
  end
  

• 生成带限定作用域的令牌
  在后台逻辑中创建仅包含该作用域的访问令牌，用于嵌入邮件链接。示例代码：

  # 先获取对应的Doorkeeper客户端应用（需提前在后台创建）
  mail_client = Doorkeeper::Application.find_by(name: "One-Time Report Sender")
  # 创建令牌，指定作用域并设置有效期
  restricted_token = Doorkeeper::AccessToken.create!(
    application: mail_client,
    scopes: "view_one_time_report",
    expires_in: 1800 # 比如设置30分钟有效期，降低泄露风险
  )
  

  之后把restricted_token.token拼入邮件链接，形如：https://your-app.com/api/v1/protected/one-time-report?access_token=#{restricted_token.token}

• 在端点添加作用域验证
  在对应API控制器的动作中，强制验证令牌的作用域：

  class Api::V1::Protected::OneTimeReportsController < Api::BaseController
    # 直接限定需要view_one_time_report作用域
    before_action -> { doorkeeper_authorize! :view_one_time_report }
  
    def show
      # 处理业务逻辑，返回专属数据
    end
  

  这样一来，只有携带view_one_time_report作用域的令牌才能访问该端点，其他令牌（包括全权限令牌）如果没有这个作用域，都会被拒绝。

• 额外安全建议

  • 严格设置令牌有效期，避免长期有效带来的风险
  • 确保所有请求通过HTTPS传输，防止令牌在网络中明文泄露
  • 若有需要，可在控制器中额外校验请求IP，进一步缩小访问范围

内容的提问来源于stack exchange，提问作者raquelhortab