OAuth2.0授权协议与客户端授权码模式详解

最新推荐文章于 2024-09-22 19:29:03 发布

wh柒八九

最新推荐文章于 2024-09-22 19:29:03 发布

阅读量2.2k

点赞数

分类专栏：核心知识点 Spring Security 文章标签：系统安全 web安全安全安全架构

本文链接：https://blog.csdn.net/qq_31960623/article/details/120721914

版权

核心知识点同时被 2 个专栏收录

559 篇文章 89 订阅

订阅专栏

Spring Security

36 篇文章 37 订阅

订阅专栏

OAuth2.0是互联网开放平台广泛使用的授权协议，确保用户信息安全。本文介绍了OAuth2.0的角色定义和四种授权模式：授权码模式、简化模式、密码模式和客户端模式，以及它们各自适用的场景。授权码模式适用于有服务器应用，简化模式适合纯静态页面，密码模式用于内部系统，客户端模式则在内部API调用中使用。理解这些模式有助于在不同系统间安全地实现资源访问。

摘要由CSDN通过智能技术生成

本文来重点讲解下OAuth2.0授权协议与客户端授权码模式

什么是OAuth协议

2012年10月，OAuth 2.0协议正式发布为RFC 6749。现在百度开放平台，腾讯开放平台等大部分的开放平台都是使用的OAuth 2.0协议作为支撑。OAuth是一个开放标准，允许用户授权第三方应用访问他们存储在另外的服务提供者上的信息，而不需要将用户名和密码提供给第三方移动应用或分享他们数据的所有内容。

OAuth 协议为用户资源的授权提供了一个安全又简易的标准。与以往的授权方式不同之处是 OAuth的授权不会使第三方触及到用户的帐号信息（如用户名与密码），即第三方无需使用用户的用户名与密码就可以申请获得该用户资源的授权，因此 OAuth是安全的。OAuth 是 Open Authorization 的简写。

交互过程

在OAuth 2.0的认证和授权的过程中主要包括以下角色定义：

Resource owner：资源所有者（通常指用户或者提供资源服务的平台）
Resource server：资源服务器（托管受保护资源的服务器）
Client：客户端（浏览器、APP）
Authorization server：授权服务器（颁发访问令牌、验证令牌、刷新令牌）

OAuth 在 “客户端” 与 “服务提供商” 之间，设置了一个授权层（authorization layer）。“客户端” 不能直接登录 “服务提供商”，只能登录授权层，以此将用户与客户端区分开来。“客户端” 登录授权层所用的令牌（token），与用户的密码不同。用户可以在登录的时候，指定授权层令牌的权限范围和有效期。“客户端” 登录授权层以后，“服务提供商” 根据令牌的权限范围和有效期，向 “客户端” 开放用户储存的资料。

在这里插入图片描述