【项目01】OAuth 2.0

RiceVan

已于 2023-04-17 10:45:17 修改

阅读量117

点赞数

分类专栏：项目总结文章标签： 1024程序员节

于 2022-10-24 15:19:29 首次发布

本文链接：https://blog.csdn.net/RiceVan/article/details/127493464

版权

4 篇文章 0 订阅

订阅专栏

OAuth 2.0

资源所有者同意以后，资源服务器可以向客户端颁发令牌。客户端通过令牌，去请求数据。
令牌（token）特性
（1）令牌是短期有效的，到期会自动失效，用户自己无法修改。
（2）令牌是可控的，可以被数据所有者撤销，会立即失效。
（3）令牌是有权限范围的（scope）。
保证了令牌既可以让第三方应用获得权限，同时又随时可控，不会危及系统安全。这就是 OAuth 2.0 的优点。
只要知道了令牌，就能进入系统。系统一般不会再次确认身份，所以令牌必须保密，泄漏令牌与泄漏密码的后果是一样的。

第三方应用申请令牌之前，都必须先到系统备案，说明自己的身份，会拿到两个身份识别码：客户端 ID（client ID）和客户端密钥（client secret）。
OAuth 2.0 规定了四种获得令牌的流程
（1）授权码模式（authorization-code）
（2）隐式模式（implicit）
（3）密码模式（password）：
（4）客户端凭证（client credentials）
参数
（1）response_type：表示要求返回授权码（AC）
（2）client_id：说明是谁在请求
（3）redirect_uri：接受或拒绝授权后，重定向供用户访问的地址
（4）scope：表示要求的授权范围
AC：Authorization Code
AT：Access Token
RT：Refresh Token

https://b.com/oauth/authorize?
  response_type=code&
  client_id=CLIENT_ID&
  redirect_uri=CALLBACK_URL&
  scope=read

在隐式模式中，直接将AT颁发给Client，去除了发送AC的流程
可以提高某些客户端的响应能力和效率
流程
1、客户端构造了一个用于请求authorization code的URL并引导User-agent跳转访问。
2、客户端发送clientID、clientSecret、scope、redirect参数请求账号服务器获取AT
3、账号服务器返回AT到客户端
4、直到AT过期或失效之前，客户端可以通过资源服务器API访问用户的帐户，并具备scope中给定的操作权限。

客户端能够直接获取用户凭据（用户名和密码），进而访问服务器资源
流程
1、用户向客户端提供用户名与密码作为授权凭据。
2、客户端向授权服务器发送用户输入的授权凭据以请求 access token。
3、授权服务器对客户端进行认证并检验用户凭据的合法性，如果检验通过，将向客户端派发 access token
4、直到AT过期或失效之前，客户端可以通过资源服务器API访问用户的帐户，并具备scope中给定的操作权限。