what
进行安全授权的开放性工业标准化协议,允许第三方应用获取对web service受限访问权限。
角色
涉及四个角色
- 第三方应用client
尝试访问用户账户的第三方应用,其需要提前获得用户权限。
- API:资源服务
用于访问用户信息的API
- 授权服务
提供'用户同意或拒绝授权'的授权接口
- user:资源所有者
真实用户
流程
- 注册新应用
- 授权authorization
- 获取token后访问API
- access token:由授权server生成并颁发给第三方应用的凭证,第三方应用凭借accesstoken访问资源server中用户资源。
图示
学习资料
https://aaronparecki.com/oauth-2-simplified/
https://tools.ietf.org/html/rfc6749