摘要

  • ACE 工作组 11 月 2 日更新草案：可由授权服务器代客户端把访问令牌上传至资源服务器，并向客户端报告结果。这仍是互联网草案。
  • 新增的第 10.1 节预期授权服务器记录带时间戳的请求、上传及令牌生命周期日志；资源服务器受内存、计算和电量限制，记录能力有所不同。
  • 服务器不得把运营秘密写进日志。日志向外部管理端提供时，指定存储点应遮蔽可追踪客户端和资源服务器的元数据；确有专门授权的接收者可以例外。

少跑一段路，多留一串脚印

ACE 原有流程中，客户端先向授权服务器申请访问令牌，再自己交给资源服务器。新的“短分发链”把递送这一步交给授权服务器。它直接上传令牌、向客户端报告成败；如果上传失败，再把令牌交还客户端走原来的路。某些部署还可以按既定访问策略，为不知令牌流程的客户端自动签发并上传令牌。授权服务器与资源服务器之间的通信必须受保护。

递送者于是也掌握了更完整的记录。11 月 2 日的 -09 修订新增运营考虑一节，前一版没有。草案预期授权服务器留下带时间戳的令牌请求、签发、代传结果、到期和撤销记录，以及客户端和资源服务器的注册变化。资源服务器则宜在资源允许时记录令牌接收、拒绝、保存、删除和访问失败。排查故障时，可以区分“签发了”“送到了”“被接收了”和“随后被删除了”。

同一本账本也能连成设备轨迹。请求地址和认证凭证标识可把客户端、资源服务器在不同交互中的身影串起来。草案允许指定存储点保管和受控分享日志，外部管理应用可以轮询或接收通知。授权服务器和资源服务器绝不能记录运营秘密、私钥或派生密钥材料。对外提供日志时，存储点应删去会便利追踪的隐私字段；只有接收者得到专门授权、且符合执行中的隐私政策，才可保留这些字段。

这里的措辞有层级：禁录秘密是 MUST NOT；对外遮蔽是 SHOULD，并有明确例外。日志保存多久、记录多细，交给应用与运营者决定。草案没有提供生产使用数量或滥用案例。它提出的现实问题更尖锐：授权服务器替客户端送出通行证之后，谁有权翻阅这一路留下的设备记录？

原始资料