OAuth 2.0 （一）——对 OAuth 2.0 的理解

OAuth 2.0 （一）——对 OAuth 2.0 的理解

1. 是什么 OAuth 2.0

OAuth 是一个关于认证、授权的标准。而 Spring Security OAuth 是 Spring Boot 对 OAuth 的实现。目前 OAuth 的最高版本是 2.0版。

2. 为什么使用 OAuth 2.0

有一个"云冲印"的网站，可以将用户储存在Google的照片，冲印出来。用户为了使用该服务，必须让"云冲印"读取自己储存在Google上的照片。

问题是只有得到用户的授权，Google才会同意"云冲印"读取这些照片。那么，"云冲印"怎样获得用户的授权呢？

传统方法是，用户将自己的Google用户名和密码，告诉"云冲印"，后者就可以读取用户的照片了。这样的做法有以下几个严重的缺点。

1. "云冲印"为了后续的服务，会保存用户的密码，这样很不安全。
2. Google不得不部署密码登录，而我们知道，单纯的密码登录并不安全。
3. "云冲印"拥有了获取用户储存在Google所有资料的权力，用户没法限制"云冲印"获得授权的范围和有效期。
4. 用户只有修改密码，才能收回赋予"云冲印"的权力。但是这样做，会使得其他所有获得用户授权的第三方应用程序全部失效。
5. 只要有一个第三方应用程序被破解，就会导致用户密码泄漏，以及所有被密码保护的数据泄漏。

而 OAuth 2.0 的作用就是为了解决以上的问题。

3. OAuth 2.0 基础知识

OAuth 2.0中关键的几个角色。

• 第三方应用程序：也就是客户端，在上面的例子就是“云冲印”。
• HTTP 服务提供商：也就是服务提供商，在上面的例子就是“Google”。
• 资源所有者：也就是用户自身。
• 认证服务器：是服务提供商提供的用于用户认证的服务器。
• 资源服务器：是服务提供商所存放用户数据的服务器。

OAuth 2.0的基本流程如下：

主要分为三大步：

1. 向用户请求授权
2. 获取授权后，向认证服务器请求token。
3. 使用token访问用户数据。

4. OAuth 2.0 授权模式介绍

4.1 授权码模式

授权码模式基本流程如下：

4.2 密码模式

密码模式基本流程如下：

4.3 简化模式

简单来说，简化模式就是授权码的简化版，简化了授权码的部分，直接返回的是token。

4.4 客户端模式

客户端模式里没有用户的概念。是客户端以自己的名义向认证服务器申请token。

客户端只需将客户端id和密码给认证服务器，认证服务器就会确认后发放token。

简单来说，客户端模式就是密码模式的简化版，简化了用户的账号密码部分，直接使用客户端申请授权。

关注我的微信公众号，查看更多文章，第一时间收到我的文章。

参考文章：理解OAuth 2.0 - 阮一峰