为什么OAuth2里面在获取access token之前一定要先获取code,然后再用code去获取access token

为什么OAuth2里面在获取access token之前一定要先获取code,然后再用code去获取access token

为什么OAuth2里面在获取access token之前一定要先获取code,然后再用code去获取access token
oauth2在获取access_token之前,一定要先获取code,主要是因为安全原因:

code需要设置过期时间,一般设置的过期时间非常短,如10分钟等,用户需要在短时间内通过code换取access_token,避免code被第三方拦截。当然,即便这种情况会发生,但因为code的过期时间非常短,也在一定程度上进行了保护,但这肯定不是完全安全的
授权成功后,code是会直接显示在浏览器上的,如果不通过code换取access_token,而是直接返回access_token,那access_token会被暴露出来,而code换取access_token是直接通过oauth服务器进行换取的,不依赖浏览器,access_token不会暴露出去。
前提是,你先在oauth服务器上进行了注册,得到了client_id和app_secret,请求时,不仅需要发送code,还需要发送client_id,oauth服务器会对client_id进行判断,是否已经进行了注册

当然,OAuth2还是允许直接返回access_token,而不经过code换取,查看 RFC6749,可以看到,oauth2一共有四种模式:

第一种:

首先用户在客户端上点击要用哪个系统的OAuth2来认证,此时客户端附上回调地址
用户在OAuth2服务器上选择是否授权用户给予授权,OAuth2服务器重定向到第一步给定的回调地址,同时附上 Authorization Code,
回调地址所在服务器带上 Authorization Code和client_id,向OAuth2服务器申请 access_token 和 refresh_token,可通过这两个token去换取资源
OAuth2服务器返回 access_token 和 refresh_token
第二种:

用户在客户端上点击要哪个系统的OAuth2来认证,此时客户端附上回调地址
用户在OAuth2服务器上选择是否授权
用户给于授权,OAuth2服务器重定向到第一步给定的回调地址,并且附上 access_token 和 refresh_token
第三种: 用户直接输入用户名和密码,这种情况针对自家的APP或者100%信任的APP可以这么干

第四种: 客户端自带认证,用户向客户端认证就可以

  • 0
    点赞
  • 5
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
使用Spring Security OAuth2进行code换取access_token的步骤如下: 1.客户端向认证服务器发出授权请求,包括客户端ID、访问范围、重定向URI和response_type=code参数。 2.认证服务器对用户进行认证,如果用户认证通过,认证服务器将生成授权码(code)。 3.认证服务器将授权码(code)发送给客户端重定向URI中。 4.客户端收到授权码(code)后,使用code和client_secret向认证服务器请求access_token。 5.认证服务器验证code和client_secret,如果验证通过,将生成access_token。 6.客户端收到access_token后,即可使用该token访问受保护的资源。 示例代码如下: ``` RestTemplate restTemplate = new RestTemplate(); MultiValueMap<String, String> params= new LinkedMultiValueMap<>(); params.add("grant_type", "authorization_code"); params.add("code", code); params.add("redirect_uri", redirectUri); params.add("client_id", clientId); params.add("client_secret", clientSecret); HttpHeaders headers = new HttpHeaders(); headers.setContentType(MediaType.APPLICATION_FORM_URLENCODED); HttpEntity<MultiValueMap<String, String>> requestEntity = new HttpEntity<>(params, headers); ResponseEntity<String> responseEntity = restTemplate.postForEntity(tokenUrl, requestEntity, String.class); ``` 其中,code是授权码,redirectUri是客户端重定向URI,clientId和clientSecret是客户端ID和密钥,tokenUrl是认证服务器的地址。授权服务器将返回一个JSON格式的字符串,其中包含access_token等信息。
评论
添加红包

请填写红包祝福语或标题

红包个数最小为10个

红包金额最低5元

当前余额3.43前往充值 >
需支付:10.00
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明:

1.余额是钱包充值的虚拟货币,按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载,可以购买VIP、付费专栏及课程。

余额充值