腾讯微博Android客户端开发——OAuth认证介绍

An open protocol to allow secure API authorization in a simple and standard method from desktop and web applications.

大概意思是说OAuth是一种开放的协议，为桌面程序或者基于BS的web应用提供了一种简单的，标准的方式去访问需要用户授权的API服务。OAuth类似于Flickr Auth、Google’s AuthSub[1]、Yahoo’s BBAuth、 Facebook Auth等。

OAuth认证授权具有以下特点：

1. 简单：不管是OAuth服务提供者还是应用开发者，都很容易于理解与使用；

2. 安全：没有涉及到用户密钥等信息，更安全更灵活；

3. 开放：任何服务提供商都可以实现OAuth，任何软件开发商都可以使用OAuth；

OAuth的认证流程

具体每步执行信息如下：

A. 第三方软件（我们自己开发的软件）向OAuth服务提供商请求未授权的Request Token。向Request Token URL发起请求，请求需要带上的以下参数：

B. OAuth服务提供商同意使用者的请求，并向其颁发未经用户授权的oauth_token与对应的oauth_token_secret，并返回给使用者：

C. 使用者向OAuth服务提供商请求用户授权的Request Token。向User Authorization URL发起请求，请求带上上步拿到的未授权的token与其密钥：

D. OAuth服务提供商将引导用户授权。该过程可能会提示用户，你想将哪些受保护的资源授权给该应用。此步可能会返回授权的Request Token也可能不返回。在腾讯认证过程中此过程会定位到腾讯的授权页面，要求用户输入QQ号和密码，然后选择同意或者拒绝对应用授权。授权成功后客户端应用会在网页中给出授权码，用户需要手工将验证码输入到应用中才能完成授权流程。返回参数：

E. Request Token 授权后，使用者将向Access Token URL发起请求，将上步授权的Request Token换取成Access Token。请求的参数：

 

F. OAuth服务提供商同意使用者的请求，并向其颁发Access Token与对应的密钥，并返回给使用者。

G. 使用者以后就可以使用上步返回的Access Token访问用户授权的资源。

注：Access Token和Access Token Secret永远不会过期，直到用户撤销应用授权或腾讯回收您的app访问权限才会失效。

从上面的步骤可以看出，用户始终没有将其用户名与密码等信息提供给使用者（第三方软件），从而更安全。

OAuth相关术语

了解认证流程后，我们顺便了解下OAuth的一些术语的定义：

OAuth相关的三个URL：

Request Token URL: 获取未授权的Request Token服务地址；

User Authorization URL: 获取用户授权的Request Token服务地址；

Access Token URL: 用授权的Request Token换取Access Token的服务地址；

OAuth相关的参数定义：

oauth_consumer_key: 使用者的ID，OAuth服务的直接使用者是开发者开发出来的应用。所以该参数值的获取一般是要去OAuth服务提供商处注册一个应用，再获取该应用的oauth_consumer_key。

oauth_consumer_secret：oauth_consumer_key对应的密钥。

oauth_signature_method: 请求串的签名方法，应用每次向OAuth三个服务地址发送请求时，必须对请求进行签名。签名的方法有：HMAC-SHA1、RSA-SHA1与PLAINTEXT等三种。

oauth_signature: 用上面的签名方法对请求的签名。

总结

笔者之前工作是在金融公司可能并不是特别追求技术，而笔者又是喜欢追求技术的人，所以格格不入，只能把目标放在互联网大厂了。也希望大家都去敢于尝试和追逐自己的梦想！
BATJ大厂Android高频面试题

觉得有收获的记得点赞，关注+收藏哦!你们的点赞就是我的动力！
《Android学习笔记总结+移动架构视频+大厂面试真题+项目实战源码》，点击传送门，即可获取！
oJ2OJ3B-1715361815114)]

觉得有收获的记得点赞，关注+收藏哦!你们的点赞就是我的动力！
《Android学习笔记总结+移动架构视频+大厂面试真题+项目实战源码》，点击传送门，即可获取！