OAuth2案例应用（附参考开源代码）

目录

OAuth2授权认证中心架构

传统单体应用架构应用安全：

微服务应用架构应用安全：

微服务架构应用安全：

OAuth 2.0主要角色 

令牌 (Tokens) 

令牌类型：

授权码模式分析：

4.1. Authorization Code Grant

刷新令牌：

四种OAuth 2.0授权类型(Flows) 

授权码Authorization Code 

简化Implicit 

用户名密码Resource Owner Credentials

客户端凭证Client Credentials

授权类型选择

JWT(JSON Web Token)令牌

常见OAuth 2.0安全问题

CSRF令牌劫持

重定向时泄露授权码或者令牌

通过切换客户劫持Token

OpenId Connect

---

由于系统业务需要，了解OAauth2原理并实现。

OAuth2授权认证中心架构

传统单体应用架构应用安全：

微服务应用架构应用安全：

微服务架构应用安全：

OAuth 2.0主要角色 

客户应用 (Client Application) ：通常是一个Web 或者无线应用， 它需要访问用户 的受保护资源 

资源服务器 (Resource Server) ：是一个web站点 或者web service API，用户的受保 护数据保存于此 

授权服务器 (Authorized Server) ：在客户应用成功 认证并获得授权 之后，向客户应 用颁发访问令牌 Access Token 

资源拥有者 (Resource Owner) ：资源的拥有人， 想要分享某些资 源给第三方应用 

 

令牌 (Tokens) 

授权服务器在接收到客户请求后，颁发的访问令牌。

令牌类型：

1. 授权码(Authorization Code Token) ：仅用于授权码授权类型，用于交 换获取访问令牌和刷新令牌 。

2. 刷新令牌(Refresh Token) ：用于去授权服务器获取一个新的访问令牌

3. 访问令牌(Access Token) ：用于代表一个用户或服务直接去访问受保护的资源

4. Bearer Token ：不管谁拿到Token都可以 访问资源，像现钞 

5. Proof of Possession(PoP) Token 可以校验client是否对Token 有明确的拥有权 

 

授权码模式分析：

这种形式使用范围最广：

https://tools.ietf.org/html/rfc6749#

4.1. Authorization Code Grant

The authorization code grant type