25、使用Auth0进行API安全测试与访问的实战指南

使用Auth0进行API安全测试与访问的实战指南

1. 本地授权服务器测试收尾

在完成Swagger UI的授权流程后，它会展示授权流程的相关信息。点击“Close”按钮即可返回起始页面。之后，就可以像之前一样测试API，Swagger UI会自动将访问令牌添加到请求中。在“Responses”标题下方的curl命令里，能找到访问令牌。至此，本地授权服务器的测试就完成了，接下来将使用外部OpenID Connect提供商进行测试。

2. 外部OpenID Connect提供商测试准备

我们选择Auth0（https://auth0.com/ ）作为外部OpenID提供商进行测试。为了使用Auth0替代本地授权服务器，需要完成以下几个方面的操作：
- 在Auth0中设置包含读者和写入者客户端以及用户的账户。
- 应用必要的配置更改，使Auth0成为OpenID提供商。
- 运行测试脚本，验证其是否正常工作。
- 使用不同的授权流程获取访问令牌：
- 客户端凭证授权流程
- 授权码授权流程
- 使用通过授权流程获取的访问令牌调用受保护的API。
- 利用用户信息端点获取更多用户信息。

3. 在Auth0中设置和配置账户

Auth0的大部分配置可通过使用其管理API的脚本完成，但在Auth0创建可用于访问管理API的客户端ID和客户端密钥之前，需要手动执行一些步骤。Auth0服务是多租户的，允许我们创建自己的OAuth对象域，包括客户端、资源所有者和资源服务器。具体操作步骤如下：
1. 在浏览器中打开https://auth0.com 。