IBM MFP中scope与security check的关联逻辑及跨名称认证成功原理咨询

现有配置与流程说明 #

• 适配器端安全检查配置：在业务适配器中通过如下代码定义了 UserAuthentication 安全检查：

<securityCheckDefinition name="UserAuthentication" class="com.mobile.authentication.UserAuthentication">
    <property name="maxAttempts" defaultValue="3" description="How many attempts are allowed"/>
</securityCheckDefinition>

• 控制台权限配置：在 MFP 控制台对应应用的「安全」标签页中，配置了名为 push.mobileclient 的 Scope 权限范围
• 前端业务调用流程：
  • 触发 MFP 认证：调用登录方法完成客户端到 MFP 的认证流程，代码如下：

  WLAuthorizationManager.login('UserAuthentication', authObj)
  

  运行中观察到 handleSuccess 回调被触发，初步判断认证流程执行成功
  • 校验认证状态：在登录成功回调中，调用令牌获取方法验证客户端认证完成状态，对应代码如下：

  WLAuthorizationManager.obtainAccessToken('push.mobileclient').then(
      function (accessToken) {
          WL.Logger.debug("obtainAccessToken onSuccess");
          console.log("obtainAccessToken onSuccess");
          console.log(accessToken)
      },
      function (response) {
          WL.Logger.debug("obtainAccessToken onFailure: " + JSON.stringify(response));
          console.log("obtainAccessToken onFailure: " + JSON.stringify(response));
      });
  

• 实际运行结果：obtainAccessToken 方法的成功回调被正常触发，MFP 未触发认证拦截逻辑。

核心疑问 #

按照代码层面的名称对应关系，登录流程关联的是 UserAuthentication 安全检查，令牌校验时传入的是 push.mobileclient 权限范围标识，二者没有显性的名称匹配关系，但 MFP 仍能识别到客户端已完成认证、直接返回有效访问令牌。需要厘清 MFP 中 Scope 元素与 Security Check 元素的关联作用关系，解释上述跨标识认证匹配成功的底层逻辑。

内容的提问来源于stack exchange，提问作者Panadol Chong