Oauth2和Jwt两种单点登录方式

OAuth 2.0和JWT（JSON Web Token）是两种常用的单点登录（SSO）解决方案。它们分别通过不同的方式来实现用户身份验证和授权。

OAuth 2.0 是一种授权框架，用于允许应用程序访问受保护的资源，而无需直接使用用户的凭据。在OAuth 2.0中，有三个主要的角色：资源所有者（用户）、客户端（应用程序）和授权服务器。以下是OAuth 2.0的基本流程：

1. 客户端向授权服务器发起请求，并提供其身份信息。
2. 授权服务器验证客户端身份，并要求用户提供登录凭据。
3. 用户提供凭据进行身份验证，并授权授权服务器向客户端颁发令牌（Access Token）。
4. 客户端使用令牌向资源服务器请求受保护的资源。
5. 资源服务器验证令牌，并根据令牌的权限决定是否提供资源。

OAuth 2.0使用令牌作为对资源的访问凭证，这些令牌通常具有有限的生命周期，并且可以在过期后进行刷新。这样一来，应用程序无需保存用户的凭据，而是利用令牌进行安全的资源访问。

JWT（JSON Web Token） 是一种开放标准（RFC 7519），定义了一种紧凑且自包含的方式来传输信息的格式。JWT通常用于在网络应用程序之间安全地传输声明（claims）。以下是JWT的基本结构：

header.payload.signature

• Header：包含令牌类型和加密算法的标头。
• Payload：包含有关用户或其他数据的声明。
• Signature：由头部、有效载荷和秘密密钥生成的签名，用于验证令牌的完整性。

JWT具有以下优点：

• 无需在服务器端存储会话状态，因为JWT中包含了所有必要的信息。
• 可以轻松地跨不同域进行身份验证和授权。
• 提供了简单且可扩展的方式来传递用户相关的声明。

总结而言，OAuth 2.0强调授权和资源访问，而JWT则专注于身份验证和声明传输。两者可以结合使用，以实现基于令牌的单点登录方案。