如何在Passport Client Credentials授权类型下实现多客户端接口权限隔离

好问题！用Client Credentials模式做M2M授权时，确实不需要给银行创建普通用户，咱们可以通过**权限（Scopes）和基于角色的访问控制（RBAC）**结合来实现这种细粒度的访问限制，具体可以这么做：

• 第一步：为每个银行的客户端配置专属Scope
  给银行A的Client ID分配access:controller-a的专属Scope，给银行B的Client ID分配access:controller-b的Scope。这样它们获取Token时，返回的Token payload里就会包含对应的Scope信息。
• 第二步：在Controller层校验Scope
  在ControllerA的接口方法上添加Scope校验逻辑，只有Token里包含access:controller-a的Scope才允许访问；同理给ControllerB绑定access:controller-b的校验。
  举个Spring Boot的代码示例：

  @RestController
  @RequestMapping("/controller-a")
  public class ControllerA {
      @GetMapping("/data")
      @PreAuthorize("#oauth2.hasScope('access:controller-a')")
      public ResponseEntity<String> getBankAData() {
          return ResponseEntity.ok("专属银行A的数据");
      }
  }
  

• 第一步：给每个客户端分配专属角色
  不用创建用户，直接给银行A的Client ID绑定ROLE_BANK_A角色，银行B的Client ID绑定ROLE_BANK_B角色。主流的OAuth2服务（比如Spring Authorization Server、Keycloak）都支持直接给客户端分配角色，无需关联用户实体。
• 第二步：在Controller层校验角色
  在ControllerA的接口上添加角色校验，只允许ROLE_BANK_A角色访问；ControllerB对应校验ROLE_BANK_B角色。
  代码示例：

  @RestController
  @RequestMapping("/controller-b")
  public class ControllerB {
      @GetMapping("/data")
      @PreAuthorize("hasRole('ROLE_BANK_B')")
      public ResponseEntity<String> getBankBData() {
          return ResponseEntity.ok("专属银行B的数据");
      }
  }
  

• 统一权限拦截：如果有大量Controller需要管控，可以编写全局拦截器或过滤器，根据请求路径和Token中的Scope/角色做统一校验，避免重复代码。
• 客户端安全：严格保管每个银行的Client Secret，定期轮换；授权服务器要确保客户端的权限/角色配置不可被篡改。

内容的提问来源于stack exchange，提问作者Mina