一、Oath2.0介绍
场景预演
通过用户登录名密码实现第三方应用
使用了Oath2.0认证实现第三方应用
二、授权模式
2.1 客户端授权模式
客户端必须得到用户的授权(authorization grant),才能获得令牌(access token)。OAuth 2.0定义了四种授权方式。
-
授权码模式(authorization code)
-
简化模式(implicit)
-
密码模式(resource owner password credentials)
-
客户端模式(client credentials)
2.2.授权码模式
申请认证的URL
入参:
参数名 | 概述 | 是否必选 |
---|---|---|
response_type | 表示授权类型,必选项,此处的值固定为"code" | √ |
token_type | 表示令牌类型,该值大小写不敏感,可以是bearer类型或mac类型 | √ |
redirect_uri | 表示重定向的URI | × |
scope | 表示申请的权限范围 | × |
state | 表示客户端的当前状态,可以指定任意值,认证服务器会原封不动地返回这个值 | × |
出参
参数名 | 概述 | 是否必选 |
---|---|---|
access_token | 表示访问令牌 | √ |
token_type | 表示令牌类型,该值大小写不敏感 | √ |
expires_in | 表示过期时间,单位为秒。如果省略该参数,必须其他方式设置过期时间 | × |
scope | 表示权限范围,如果与客户端申请的范围一致 | × |
state | 如果客户端的请求中包含这个参数,认证服务器的回应也必须一模一样包含这个参数 | × |
2.2.简化模式
简化模式(implicit grant type)不通过第三方应用程序的服务器,直接在浏览器中向认证服务器申请令牌,跳过了"授权码"这个步骤,因此得名。所有步骤在浏览器中完成,令牌对访问者是可见的,且客户端不需要认证。
申请认证的URL
入参:
参数名 | 概述 | 是否必选 |
---|---|---|
response_type | 表示授权类型,此处的值固定为"token" | √ |
client_id | 表示客户端的ID | √ |
redirect_uri | 表示重定向的URI | × |
scope | 表示权限范围 | × |
state | 表示客户端的当前状态,可以指定任意值,认证服务器会原封不动地返回这个值 | × |
出参
参数名 | 概述 | 是否必选 |
---|---|---|
access_token | 表示访问令牌 | √ |
token_type | 表示令牌类型,该值大小写不敏感 | √ |
expires_in | 表示过期时间,单位为秒。如果省略该参数,必须其他方式设置过期时间 | × |
refresh_token | 表示刷新令牌 | × |
example_parameter | 样例参数 | × |
2.3 密码模式
密码模式(Resource Owner Password Credentials Grant)中,用户向客户端提供自己的用户名和密码。客户端使用这些信息,向"服务商提供商"索要授权。
在这种模式中,用户必须把自己的密码给客户端,但是客户端不得储存密码。这通常用在用户对客户端高度信任的情况下,比如客户端是操作系统的一部分,或者由一个著名公司出品。而认证服务器只有在其他授权模式无法执行的情况下,才能考虑使用这种模式。
grant_type=password&username=user&password=1231
入参
参数名 | 概述 | 必选项 |
---|---|---|
grant_type | 表示授权类型,此处的值固定为"password" | √ |
username | 表示用户名 | √ |
password | 表示用户的密码 | √ |
scope | 表示权限范围 |
出参
参数名 | 概述 | 是否必选 |
---|---|---|
access_token | 表示访问令牌 | √ |
token_type | 表示令牌类型,该值大小写不敏感 | √ |
expires_in | 表示过期时间,单位为秒。如果省略该参数,必须其他方式设置过期时间 | × |
refresh_token | 表示刷新令牌值 | × |
example_parameter | 样例参数 | × |
2.4 客户端模式
客户端模式(Client Credentials Grant)
指客户端以自己的名义,而不是以用户的名义,向"服务提供商"进行认证。严格地说,客户端模式并不属于OAuth框架所要解决的问题。在这种模式中,用户直接向客户端注册,客户端以自己的名义要求"服务提供商"提供服务,其实不存在授权问题。
三、Oath2.0参考
3.1 使用该技术的网站
网站 | 地址 |
---|---|
微博 | https://open.weibo.com/connect |
淘宝 | http://my.open.taobao.com/ |
微信 | https://open.weixin.qq.com/connect/oauth2/authorize |