# 资源授权

来源快照：`result_data_new_260518.json`

- 来源 ID：`1177710200659632215`
- 模块：集成中心
- 目录：统一认证中心 - 后台管理配置 - 认证应用管理
- space ID：`1158011075224911873`
- 原文链接：未提供
- 产品基线：未提供

## 正文

# 一、功能介绍

本文件旨在介绍统一认证应用访问控制中的资源授权，以实现对经认证应用可访问的业务系统资源的有效控制。

# 二、功能概述以及使用说明

## 1、资源授权配置说明

**【****注：SAML2应用不支持资源授权****】**

进入认证应用管理/应用设置-资源授权页面可以维护资源授权。

![](https://weapp.eteams.cn/papi/file/preview?fileId=1177724631626899457&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

列表说明：

**列表展示**| **说明**  
---|---  
授权资源| 展示需要授权的资源  
对象类型| 展示授权资源的对象类型  
对象| 展示授权资源的对象  
安全级别| 若组织架构设置-基础设置，“启用人员安全级别”启用，则会显示安全级别  
  
 

列表行菜单说明：

**列表行菜单**| **说明**  
---|---  
【编辑】| 点击可进入此资源授权的编辑授权页面  
【删除】| 点击有确认提示，若确认可删除此资源授权  
  
 

操作按钮说明：

**操作按钮**| **说明**  
---|---  
【![](https://weapp.eteams.cn/papi/file/preview?fileId=1177724636002926593&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)】| 点击可进入添加授权页面  
【![](https://weapp.eteams.cn/papi/file/preview?fileId=1177724636002926595&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)】| 点击可显示批量删除按钮，点击批量删除按钮可对当前配置的咨询进行批量删除  
  
 

### 1.1、添加授权

在资源授权页面中，点击【![](https://weapp.eteams.cn/papi/file/preview?fileId=1177724636002926593&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)】按钮，即可进入添加授权页面，在该页面可添加授权资源以及此资源允许被使用的对象。

![](https://weapp.eteams.cn/papi/file/preview?fileId=1177724636002926598&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

配置说明：

**配置项**| **说明**  
---|---  
授权资源| 可设置类型： 关键字 以及路径。若是关键字，进行模糊查找，当前回调地址，存在配置的关键字，会进行授权判断；若是路径，必须以“/”开头，当前回调地址若为配置的资源路径下的资源，会进行授权判断；未配置资源授权的地址，表示允许所有人访问。  
对象类型以及对象| 根据标准的共享组件来进行配置  
  
 

操作按钮说明：

**操作按钮**| **说明**  
---|---  
【保存】| 点击会校验资源授权的配置项，通过后可保存配置。①资源授权若选择路径，必须以“/”开头。  
【取消】| 直接关闭添加授权页面  
  
 

 

### 1.2、编辑授权

在资源授权列表中，点击行菜单的【编辑】按钮，即可进入编辑授权页面。在此页面，能够对对象的授权资源进行调整。

![](https://weapp.eteams.cn/papi/file/preview?fileId=1177724631617978372&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

配置说明：

**配置项**| **说明**  
---|---  
授权资源| 可编辑。  
对象类型以及对象| 不可编辑  
  
 

操作按钮说明：

**操作按钮**| **说明**  
---|---  
【保存】| 点击会校验资源授权的配置项，通过后可保存配置。①资源授权若选择路径，必须以“/”开头。  
【取消】| 直接关闭添加授权页面  
  
 

 

## 2、资源授权功能说明

### 2.1、未配置资源授权

若未添加授权资源，则可通过此应用访问业务系统的任意资源。

### 2.2、配置授权资源

若已配置授权资源，那么当通过此应用访问业务系统时，系统会对业务系统的回调地址进行校验。若回调地址不在授权资源范围内，系统不会进行拦截，用户可正常完成认证授权；若回调地址处于授权资源范围内，系统则会进一步校验：若当前登录用户处于该授权资源的对象范围之内，那么用户可进行认证授权访问；反之，若登录用户不在该授权资源的对象范围之内，授权将不被允许，系统会跳转至提示页面，显示“登录用户不在认证应用注册的资源授权范围内，请联系管理员检查配置”。

针对关键字授权资源与路径授权资源的判断规则如下：对于关键字授权资源，系统会判断业务系统地址是否模糊匹配该关键字，若能匹配上，则表明已配置此资源，反之则未配置；对于路径授权资源，系统会判断业务系统回调地址是否处于配置的资源路径下，若处于该路径下，则表明已配置，反之则未配置。

 

#### 2.2.1、关键字授权资源示例

示例：CAS应用配置授权资源的关键字为“client”，对象为部门设定田濛濛组织，这意味着仅该部门内的人员能够通过此应用访问业务系统中包含“client”的资源。

![](https://weapp.eteams.cn/papi/file/preview?fileId=1177724631682793477&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

在实际通过 CAS 授权接口进行授权时，会对实际传递的 service 参数进行校验。

E10CAS授权接口：**E10****系统地址****/papi/sso/cas/login?appid=[client_id] &service=[callback]**其中：[client_id]为实际CAS应用标识，如4ff68aa8-157a-461e-8be2-1f52c9e57f0c；[callback]为实际业务系统回调地址，需在业务系统URL地址范围内，业务系统URL地址配置如http://192.168.40.155:8081  
---  
  
 

则：

1，若实际传递的 service 参数中不包含“client”，则可直接通过认证授权。 。如

/papi/sso/cas/login?appid=4ff68aa8-157a-461e-8be2-1f52c9e57f0c&service=**http%3A%2F%2F192.168.40.155%3A8081%2Findex.jsp**

/papi/sso/cas/login?appid=4ff68aa8-157a-461e-8be2-1f52c9e57f0c&service=**http%3A%2F%2F192.168.40.155%3A8081%2Fdemo%2Findex.jsp**

2，若实际传递的service参数里面有包含“client”，如：

/papi/sso/cas/login?appid=4ff68aa8-157a-461e-8be2-1f52c9e57f0c&service=**http%3A%2F%2F192.168.40.155%3A8081%2Fdemo_cas_****client****%2Findex.jsp**

/papi/sso/cas/login?appid=4ff68aa8-157a-461e-8be2-1f52c9e57f0c&service=**http%3A%2F%2F192.168.40.155%3A8081%2Fdemo%2F****client****.jsp**

则会校验当前登录人员是否处于该授权资源的对象范围之内。若该人员在“部门 \- 田濛濛组织”内，则授权可通过；若不在此范围内，则跳转至提示页面，显示“登录用户不在认证应用注册的资源授权范围内，请联系管理员检查配置”。

![](https://weapp.eteams.cn/papi/file/preview?fileId=1177724631617978377&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

#### 2.2.2、路径授权资源示例

示例：OAuth2应用配置授权资源的路径为“/demo_oauth”，对象为人员设定测试人员，这意味着仅这一测试人员能够通过此应用访问业务系统中“/demo_oauth”路径下的资源。

![](https://weapp.eteams.cn/papi/file/preview?fileId=1177724631682793486&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)

在实际通过 OAuth授权接口进行授权时，会对实际传递的 redirect_uri参数进行校验。

E10OAuth2授权接口：**E10****系统地址****/papi/sso/oauth2.0/authorize?client_id=[client_id] &redirect_uri=[callback]&response_type=code**其中：[client_id]为实际OAuth2应用标识，如67cff125-e286-46b5-b190-597b26f5f719；[callback]为实际业务系统回调地址，需在业务系统URL地址范围内，业务系统URL地址配置如http://192.168.40.155:8081  
---  
  
 

则：

1，若实际传递的 service 参数不在“/demo_oauth”路径下，则可直接通过认证授权。 。如

/papi/sso/cas/login?appid=4ff68aa8-157a-461e-8be2-1f52c9e57f0c&service=**http%3A%2F%2F192.168.40.155%3A8081%2Findex.jsp**

/papi/sso/cas/login?appid=4ff68aa8-157a-461e-8be2-1f52c9e57f0c&service=**http%3A%2F%2F192.168.40.155%3A8081%2Fdemo%2Fdemo_oauth%2Findex.jsp**

2，若实际传递的service参数里面有包含“client”，如：

/papi/sso/cas/login?appid=4ff68aa8-157a-461e-8be2-1f52c9e57f0c&service=**http%3A%2F%2F192.168.40.155%3A8081****%2Fdemo_oauth****%2Findex.jsp**

/papi/sso/cas/login?appid=4ff68aa8-157a-461e-8be2-1f52c9e57f0c&service=**http%3A%2F%2F192.168.40.155%3A8081****%2Fdemo_oauth****%2Fdemo%2Findex.jsp**

则会校验当前登录人员是否处于该授权资源的对象范围之内。若是测试人员，则授权可通过；若不是，则跳转至提示页面，显示“登录用户不在认证应用注册的资源授权范围内，请联系管理员检查配置”。

![](https://weapp.eteams.cn/papi/file/preview?fileId=1177724631617978377&type=redirect&customParam=%7B%22isExtDist%22%3Atrue%2C%22distributeId%22%3A%22%22%2C%22externalId%22%3A%22%22%2C%22appId%22%3A%22%22%7D)
