OAuth2.0是目前使用非常广泛的授权机制,用于授权第三方应用获取用户的数据。 举例说明:![](https://img-blog.csdnimg.cn/311c1e6d824c4d03a0cc473861e865f7.png)
用户可以通过选择其他登录方式来使用gitee,这里就使用到了第三方认证。 来自RFC 6749 OAuth 引入了一个授权层,用来分离两种不同的角色:客户端和资源所有者。......资源所有者同意 以后,资源服务器可以向客户端颁发令牌。客户端通过令牌,去请求数据。
2. OAuth2中的角色
1. 资源所有者 能够授予对受保护资源的访问权限的实体,如果资源的所有者为个人,也被成为最终用户
1. 资源服务器 存储有受保护资源的服务器, 能够接受并验证访问令牌,并响应受保护资源的访问请求
1. 客户 需要被授权,然后再访问受保护资源的实体。客户这个术语,并不是特指应用程序,服务器,计算机 等。
1. 授权服务器 验证资源所有者并获取授权成功后,向客户发出访问令牌
3. 认证流程
4. 生活中的Oauth2思维
场景设置:小王出差在外,为家中买了一台空调需要上门安装,小王的老爸老王在家,小王家是小王的 老婆做主,只用获得老婆的许可方能有进入家中。现在空调客服人员需要进到小王家中安装空调。设计 的流程如下:
客服人员发一个进门安装空调的的申请给小王
小王看到了服务人员的申请,在验证了客服人员的公司名称,工号等信息后,同意申请,并发给他 一个授权码
客服人员获取授权码之后,使用授权码去申请进门的令牌,申请发到小王的老婆那里,小王老婆在 验证了授权码之后给客服人员发了一个含有有效期为一天的令牌(小王的老婆可以查看到小王发的 原始验证码)
客服人员拿着令牌到小王家
老王在验证令牌有效后可客服人员进入客厅安装空调,但这个令牌不能进入其他房间。
一天后令牌会过期,如有需要则需要重新申请
上面的过程反应了OAuth2认证的典型流程,流程中的角色对应关系
客户 ---> 客服人员
资源所有者 ---> 小王
授权服务器 ---> 小王老婆
资源服务器 ---> 客厅
5. OAuth2授权方式
由于互联网有多种场景,OAuth2定义了四种获取令牌的方式,可以选择合适与自己的方式
授权码(authorization-code)
隐藏式(implicit)
密码式(password):
客户端凭证(client credentials)