OAuth协议的四种模式

• 密码模式 Resource Owner Password
• 授权码模式 Authorization code grant
• 简化模式 implicit grant type
• 客户端模式
  OAuth2协议存在的意义：
    假如我们开发了一个很牛叉的应用，这个时候别的公司的人想接入我们的应用，访问我们API，用户能够通过第三方应用访问存在我们服务器上的资源。这个时候有两个问题需要解决，一是我们要认证第三方应用的合法性，不是随随便便一个应用就能访问我们的服务，第二个问题是我们要认证用户身份，拒绝不合法的用户。
    也许你脑海里马上就想到了一种方式，这还不简单，要验证第三方应用，实现在我们这里注册一下appid并设置好appsecrect密码，用户在第三方应用上访问自己的资源时，提供自己的用户名和密码给第三方应用，第三方应用拿着应用的id和密码、用户的用户名密码请求我们的服务，我们颁布一个令牌，下次就不用这么麻烦，直接拿这个令牌就能管我们要服务器上的资源。是的，没错这个就是OAuth2协议的密码模式，但这种方式不安全，把用户名密码暴露给了第三方应用。
    那么既然不能暴露密码给第三方，只能让用户在我们的服务器上认证，因此第三方应用在用户未登录时，需要把用户引导到我们的服务器端认证。那么用户认证问题解决了，怎么解决客户端认证问题呢，请看OAuth2授权码模式。

密码模式

1、用户提供用户名和密码给客户端应用
2、客户端应用使用用户提供的用户名和密码和自己应用的ClientId和ClientSecrect请求令牌
3、校验用户身份（用户名密码）和客户端应用身份（ClientSecrect）并返回访问令牌和刷新令牌

缺点：不安全，密码会暴露给客户端应用，除非客户端应用也是自家的。

各步骤参数：
步骤1：

• grant_type：表示授权类型，此处的值固定为"password"，必选项。
• username：表示用户名，必选项。
• password：表示用户的密码，必选项。
• scope：表示权限范围，可选项。

认证服务器向客户端发送access token

 Content-Type: application/json;charset=UTF-8
 Cache-Control: no-store
 Pragma: no-cache
 {
   "access_token":"2YotnFZFEjr1zCsicMWpAA",
   "token_type":"example",
   "expires_in":3600,
   "refresh_token":"tGzv3JOkF0XG5Qx2TlKWIA",
   "example_parameter":"example_value"
 }

授权码模式

授权码模式是最安全，也是最常用的一种模式，适合用于有后台服务的第三方应用。

各步骤参数说明:
步骤1：

• response_type：表示授权类型，必选项，此处的值固定为"code"
• client_id：表示客户端的ID，必选项
• redirect_uri：表示重定向URI，可选项
• scope：表示申请的权限范围，可选项
• state：表示客户端的当前状态，可以指定任意值，认证服务器会原封不动地返回这个值。

步骤2：服务器回应客户端的URI，包含以下参数：

• code：表示授权码，必选项。该码的有效期应该很短，通常设为10分钟，客户端只能使用该码一次，否则会被授权服务器拒绝。该码与客户端ID和重定向URI，是一一对应关系。
• state：如果客户端的请求中包含这个参数，认证服务器的回应也必须一模一样包含这个参数

步骤3：客户端向认证服务器申请令牌的HTTP请求，包含以下参数：

• grant_type：表示使用的授权模式，必选项，此处的值固定为"authorization_code"。
• code：表示上一步获得的授权码，必选项。
• redirect_uri：表示重定向URI，必选项，且必须与A步骤中的该参数值保持一致。
• client_id：表示客户端ID，必选项。

步骤4：认证服务器发送的HTTP回复，包含以下参数：

• access_token：表示访问令牌，必选项。
• token_type：表示令牌类型，该值大小写不敏感，必选项，可以是bearer类型或mac类型。
• expires_in：表示过期时间，单位为秒。如果省略该参数，必须其他方式设置过期时间。
• refresh_token：表示更新令牌，用来获取下一次的访问令牌，可选项。
• scope：表示权限范围，如果与客户端申请的范围一致，此项可省略。

简化模式

简化模式存在的意义在于，部分客户端不存在客户端应用服务器，只有一堆html、css挂在nginx下。因为html不能发送请求，相比授权码模式省略了code换取access token的过程。

步骤1：客户端发出的HTTP请求，包含以下参数：

• response_type：表示授权类型，此处的值固定为"token"，必选项。
• client_id：表示客户端的ID，必选项。
• redirect_uri：表示重定向的URI，可选项。
• scope：表示权限范围，可选项。
• state：表示客户端的当前状态，可以指定任意值，认证服务器会原封不动地返回这个值。

客户端模式

客户端模式并不需要用户参与，client向授权服务器发送自己的身份信息，并请求AccessToken，而不是用户的名义像认证服务器端进行认证。

• granttype：表示授权类型，此处的值固定为"clientcredentials"，必选项。
• scope：表示权限范围，可选项。

参考博客：OAuth2协议