问Scopes对多个资源服务器令牌的OAuth2 JWT加密

EN

在OAuth2部署的上下文中，我希望向客户端授予一个加密的JWT，该加密JWT具有多个资源服务器的作用域，并且可以由每个资源服务器进行解密，而不依赖于在所有资源服务器之间共享秘密的授权服务器。

是否存在解决此场景的规范？

下一节中的需求指定了一些剩余的约束。

###Requirements###

• 解密必须发生在资源服务器层，而不必将令牌代理回授权服务器(通过令牌内省端点或其他方式)。
• 资源服务器都必须有不同的密钥，以限制可能导致任何给定密钥被泄露的攻击面。
• 为了保持与OpenID连接的兼容，JWT必须使用紧凑的格式(这是真的吗，还是OpenID连接可以与JWT (JWS/JWE) JSON序列化格式一起工作？)

###An示例使用Case###

我将为授权代码授予(https://www.rfc-editor.org/rfc/rfc6749#section-1.3.1)绘制一个用例，以便进一步演示我的用例。

• 作为授权服务器的注册用户
• 当我第一次访问注册的OAuth2客户端应用程序(与我的用户代理)时
• 然后，使用授权代码授予(包括scopes="photos.read，photos.write，friends.read")查询所需的查询参数，将我重定向到授权服务器
• 我应该看到一个授权对话框，请求对以下服务进行委托访问：
• 读你的照片
• 代表你上传照片
• 读你的朋友
• 当我点击‘授权’
• 然后，使用授权代码将我重定向回注册的OAuth2客户端应用程序
• 当OAuth2客户端应用程序系统使用授权代码请求令牌时
• 然后，OAuth2客户端应用程序系统应该接收具有以下作用域的令牌：
  • photos.read
  • photos.write
  • friends.read

(...)

在这个系统的实现中，“照片资源”和“朋友资源”分别生活在两个不同的资源服务器上。如上所述，目标是这些资源服务器不共享相同的密钥。

###Possible Solution###

1. 带有多个接收者的JSON序列化(https://www.rfc-editor.org/rfc/rfc7516#appendix-A.4.7)。这违反了上面的要求，因为is使用的是JWE JSON序列化方法，而不是JWE紧凑格式。根据上面的问题，似乎OpenID连接只能使用。如果我的假设是不正确的，那么这也许是一个合理的解决方案？

谢谢你读这篇文章。我非常感谢你的任何建议和建议。