OAUTH2.0 需要授权码Authentication Code存在的真正原因

OAUTH2.0 有几种认证方式，最安全的是授权码模式 (Authentication code)

附：引用 OAUTH2.0 流程图：

图中用户/用户浏览器为资源的owner, 要访问的服务器（图中的中间部分）是OAuth Client, 图中右边为OAuth Server.

原因：

在上图的步骤4中, OAuth Server请求用户输入用户名和密码，

然后用户在浏览器输入用户名直接发给OAuth Server，这时候OAuth Server必须返回一个东西给用户浏览器 (不经过OAuth Client)。

当非授权码模式下，OAuth Server会直接返回access token给用户浏览器(这是OAuth2.0的另一种模式)，但是很不安全，因为这种模式下access token已经泄露给浏览器端了, 容易被黑客截获。

如果我们用了授权码模式，OAuth Server会返回一个授权码给用户浏览器，并且让用户重定向到OAuth Client (上图中间的服务器), 这时, OAuth Client收到授权码，了解用户需要认证操作，就把授权码+Client id/Client secret一起发给OAuth Server获取access token (步骤7，8，9)。

之后OAuth Client就通过access token获得了用户的认证，不需要把token暴露给前端浏览器，保护了token.

 

授权码模式优点：

- 用户输入的用户名/密码不经过OAuth Client，保护了用户密码 

- access token不经过用户浏览器, 保护了access token 

 

PS:那为什么授权码可以给用户暴露?

原因1: 授权码Authentication code只能用一次，而且会很快超时失效, 使得被截获后难以运用

原因2: 就算丢失了授权码，Oauth Server也需要client id/client secret共同完成认证，单独一个Authentication code得不到access token的。 (所以原则上来说client secret是需要保密的，不能让人同时获取client secret+client id+authentication code，否则攻击者也可以模拟oauth请求来获得access token)