Feil scope returnerer 401 Unauthorized. Burde det være 403 Forbidden?

[dagframstad]

Iht https://datatracker.ietf.org/doc/html/rfc6750#section-3.1 skal feil scope gi 403 og ikke 401.

[jan-olaveide]

Her trenger vi mer info og en test som reproduserer

[dagframstad]

i ProtectedRestControllerIntegrationTest

@Test
    fun signedTokenInRequestWithWrongScopeShouldReturn403() {
        val now = Date()
        expectStatusCode(
                PROTECTED_WITH_SCOPE,
                issueToken("knownissuer2", Builder()
                    .jwtID(UUID.randomUUID().toString())
                    .claim("scope", "foo.foo")
                    .notBeforeTime(now)
                    .issueTime(now)
                    .expirationTime(Date(now.time + MINUTES.toMillis(1)))
                    .build()).serialize(),
                FORBIDDEN)
    }

i AProtectedRestController

@ProtectedWithClaims(issuer = ISSUER_SHORTNAME2, claimMap = ["scope=foo.bar"])
    @GetMapping(PROTECTED_WITH_SCOPE)
    fun protectedWithClaimsScope() = "protected with required scope"
// i companion object:
const val PROTECTED_WITH_SCOPE = "/protected/scope"

Dessuten så det ikke ut til at expectStatusCode() virket, testene ble grønne uansett statuskode som ble forventet. Endret til

 private fun expectStatusCode(uri : String, token : String, httpStatus : HttpStatus) {
        mockMvc.perform(get(uri)
            .header(AUTHORIZATION_HEADER, "Bearer $token"))
            .andDo(print())
            .andExpect(status().`is`(httpStatus.value()))
    }

Usikker på om feil på alt av claims skal gi 403 eller om det bare er scope (har ikke googlet).
Kan det tenkes at det skal gis 403 om token er gyldig token, men at et eller flere claims mangler?
Er på litt tynn is her om hvilke situasjoner som skal gi 401 og hvilke som skal gi 403.

[dagframstad]

@jan-olaveide trenger du mer?

[jan-olaveide]

Bra catch med expectStatusCode. Jeg synes vi skal finne ut av dette under i samme slengen

Usikker på om feil på alt av claims skal gi 403 eller om det bare er scope (har ikke googlet).
Kan det tenkes at det skal gis 403 om token er gyldig token, men at et eller flere claims mangler?
Er på litt tynn is her om hvilke situasjoner som skal gi 401 og hvilke som skal gi 403.