OAuth协议简介

转载 2012年03月21日 16:44:16
 
维基百科,自由的百科全书
跳转到: 导航, 搜索
OAuth的标志

OAuth(开放授权)是一个开放标准,允许用户让第三方应用访问该用户在某一网站上存储的私密的资源(如照片,视频,联系人列表),而无需将用户名和密码提供给第三方应用。

OAuth允许用户提供一个令牌,而不是用户名和密码来访问他们存放在特定服务提供者的数据。每一个令牌授权一个特定的网站(例如,视频编辑网站)在特定的时段(例如,接下来的2小时内)内访问特定的资源(例如仅仅是某一相册中的视频)。这样,OAuth允许用户授权第三方网站访问他们存储在另外的服务提供者上的信息,而不需要分享他们的访问许可或他们数据的所有内容。

OAuth是OpenID的一个补充,但是完全不同的服务。

目录

 [隐藏

[编辑] 认证和授权过程

在认证和授权的过程中涉及的三方包括:

  • 服务提供方 (Service Provider),用户使用服务提供方来存储受保护的资源,如照片,视频,联系人列表。
  • 用户 (User),存放在服务提供方的受保护的资源的拥有者。
  • 客户端 (Client),要访问服务提供方资源的第三方应用,通常是网站,如提供照片打印服务的网站。在认证过程之前,客户端要向服务提供者申请客户端标识。

使用OAuth进行认证和授权的过程如下所示:

  1. 用户访问客户端的网站,想操作用户存放在服务提供方的资源。
  2. 客户端服务提供方请求一个临时令牌 (Request Token)。
  3. 服务提供方验证客户端的身份后,授予一个临时令牌。
  4. 客户端获得临时令牌后,将用户引导至服务提供方的授权页面请求用户授权。在这个过程中将临时令牌和客户端的回调连接发送给服务提供方
  5. 用户服务提供方的网页上输入用户名和密码,然后授权该客户端访问所请求的资源。
  6. 授权成功后,服务提供方引导用户返回客户端的网页。
  7. 客户端根据临时令牌从服务提供方那里获取访问令牌 (Access Token)。
  8. 服务提供方根据临时令牌和用户的授权情况授予客户端访问令牌。
  9. 客户端使用获取的访问令牌访问存放在服务提供方上的受保护的资源。

[编辑] 历史

OAuth开始于2006年11月,当时布莱恩·库克Blaine Cook)正在开发TwitterOpenID实现。与此同时,Ma.gnolia需要一个解决方案允许使用OpenID的成员授权Dashboard访问他们的服务。这样库克、克里斯·梅西纳Chris Messina)和来自Ma.gnolia的拉里·哈尔夫(Larry Halff)与戴维·雷科尔顿(David Recordon)会面讨论在Twitter和Ma.gnolia API上使用OpenID进行委托授权。 他们讨论得出没有开放标准完成API访问的委托。

2007年4月,成立了OAuth讨论组,这个由实现者组成的小组撰写了一个开放协议的提议草案。来自Google德维特·克林顿(DeWitt Clinton)获悉OAuth项目后,表示他有兴趣支持这个工作。2007年7月,团队起草了最初的规范。随后,Eran Hammer-Lahav加入团队并协调了许多OAuth的稿件,创建了更为正式的规范。2007年10月3日, OAuth核心 1.0最后的草案发布了。

2008年11月,在明尼阿波利斯举行的互联网工程任务组第73次会议上, 举行了OAuth的BoF[1]讨论将该协议纳入IETF做进一步的规范化工作。 这个会议参加的人很多,关于正式地授权在IETF设立一个OAuth工作组这一议题得到了广泛的支持。

2010年4月,OAuth 1.0协议发表为RFC 5849,一个非正式RFC

[编辑] OAuth 2.0

OAuth 2.0是OAuth协议的下一版本,但不向后兼容OAuth 1.0。 OAuth 2.0关注客户端开发者的简易性,同时为Web应用,桌面应用和手机,和起居室设备提供专门的认证流程。规范还在IETF OAuth工作组的开发中[2] ,按照Eran Hammer-Lahav的说法,OAuth将于2010年末完成[3]

Facebook的新的Graph API只支持OAuth 2.0[4],Google在2011年3月亦宣布Google API对OAuth 2.0的支援[5],Windows Live 亦支援 OAuth 2.0[6]

相关文章推荐

OAUTH协议简介及其使用场景介绍

原文链接:http://blog.csdn.net/hereweare2009/article/details/3968582    摘要:OAUTH协议为用户资源的授权提供了一个安全的、开放而又简...

开放授权协议OAuth2.0简介

原文地址: http://stackvoid.com/introduce-to-oath2.0/ 可能你跟我一样,使用过各种第三方开放授权库(如在你的 APP 中获取 QQ 照片或微...

OAUTH协议简介

OAUTH认证,跨网站认证,登陆
  • wyqlxy
  • wyqlxy
  • 2011年03月09日 16:50
  • 613

基于OAuth2协议QQ登陆互联.NET版

  • 2013年06月07日 16:34
  • 654KB
  • 下载

OAuth认证协议原理及使用方法

  • 2011年03月27日 20:54
  • 38KB
  • 下载

Unity3D 网络通信_HTTP协议、处理Json格式返回值、请求加Oauth

Unity3D 网络通信_HTTP协议、处理Json格式返回值、请求加Oauth

php第三方登录 Oauth2.0协议

OAuth(开放授权)是一个开放标准,允许用户让第三方应用访问该用户在某一网站上存储的私密的资源(如照片,视频,联系人列表),而无需将用户名和密码提供给第三方应用。 允许用户提供一个令牌,而不是用...

oAuth 2.0协议解析

解析oAuth 2.0协议,考虑交互过程和实现的要点。

OAuth 2.0协议原理学习汇总

OAuth 2.0协议原理学习汇总本文整理自阮一峰 前辈的理解OAuth 2.0 整理的过程主要对协议认证逻辑的序列图和流程图用visio进行了重新绘制,整理一遍主要是为了加强对该协议的理解,也是一...

从51信用卡到OAuth2协议

一个网站不能触碰其他网站的密码,应该说是一种常识,更不要说去保存对方的密码了。 在1999年我就曾与当时中网新空气论坛进行了用户漫游。当时还没有OAuth协议跟不要说OAuth2了。 A网站用户要漫...
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:OAuth协议简介
举报原因:
原因补充:

(最多只允许输入30个字)