ルールでユーザーの API へのアクセスを拒否する

Auth0 の Authorization Extension を使用して、ルールでユーザーの API へのアクセスを拒否する方法を説明します。

Auth0 の Authorization Extension でのみ使用できます。Authorization Core feature set を使用している場合は、代わりに組み込みのトークンダイアレクトを使用してください。詳しくは、Authorization Core と Authorization Extension の比較をご覧ください。

Auth0 Dashboard > Auth0 Pipeline > ルール に移動します。ルールは、ユーザー管理からユーザープロファイルの拡張まで、さまざまな用途に設定できます。ユーザーの API へのアクセスを拒否する必要がある場合は、スコープを割り当てた Roles を作成し、アクセストークン からスコープを削除するルールを作成できます。

{
function (user, context, callback) {
  var permissions = user.permissions || [];
  var requestedScopes = context.request.body.scope || context.request.query.scope;
  var filteredScopes = requestedScopes.split(' ').filter( function(x) {
      return x.indexOf(':') < 0;
  });

  var allScopes = filteredScopes.concat(permissions);
  context.accessToken.scope = allScopes.join(' ');

  callback(null, user, context);
}