【Spring Security OAuth2】- Spring Social第三方登录 - OAuth协议简介

作者简介：大家好，我是smart哥，前中兴通讯、美团架构师，现某互联网公司CTO

联系qq：184480602，加我进群，大家一起学习，一起进步，一起对抗互联网寒冬

学习必须往深处挖，挖的越深，基础越扎实！

阶段1、深入多线程

阶段2、深入多线程设计模式

阶段3、深入juc源码解析

阶段4、深入jdk其余源码解析

阶段5、深入jvm源码解析

码哥源码部分

码哥讲源码-原理源码篇【2024年最新大厂关于线程池使用的场景题】

码哥讲源码【炸雷啦！炸雷啦！黄光头他终于跑路啦！】

码哥讲源码-【jvm课程前置知识及c/c++调试环境搭建】

​​​​​​码哥讲源码-原理源码篇【揭秘join方法的唤醒本质上决定于jvm的底层析构函数】

码哥源码-原理源码篇【Doug Lea为什么要将成员变量赋值给局部变量后再操作？】

码哥讲源码【你水不是你的错,但是你胡说八道就是你不对了！】

码哥讲源码【谁再说Spring不支持多线程事务，你给我抽他！】

终结B站没人能讲清楚红黑树的历史，不服等你来踢馆！

打脸系列【020-3小时讲解MESI协议和volatile之间的关系，那些将x86下的验证结果当作最终结果的水货们请闭嘴】

使用Spring Social开发第三方登录

从本章开始进入了oauth协议；这里的第三方登录也是oauth协议；

OAuth协议简介

• OAuth要解决的问题
• OAuth协议中的各个角色
• OAuth运行流程

OAuth要解决的问题

考虑这样一个场景：假如开发一个APP-慕课微信图片美化，需要用户存储在微信上的数据；

传统的做法是：拿到用户的用户名密码
问题：

• 应用可以访问用户在微信上的所有数据；（不能做到读授权一部分功能权限）
• 只能修改密码才能收回授权
• 密码泄露可能性提高

OAuth要使用Token令牌来解决以上的问题

• 令牌绑定权限
• 令牌有过期时间
• 不需要用户的原始密码

OAuth协议中的各个角色

• 服务提供商 Provider

• 资源所有者 Resource Owner

• 第三方应用 Client

• 认证服务器 Authorization Server

  派发令牌

• 资源服务器 Resource Server

  验证令牌，并提供服务

OAuth运行流程

同意授权是关键；只有同意了才会有接下来的流程

OAuth提供了4中授权方式

• 授权码模式 Authorization code
• 简化模式 implicit
• 密码模式 resource owner Password credentials
• 客户端模式 client credentials

授权码模式流程

该模式与其他三种模式不同，最重要的区别就是：同意授权这个动作，是在认证服务器上完成的，而其他的三种都是在第三方应用上完成的。

该模式是4中模式中最严格最完整的一种协议

简化模式

在授权后直接带回令牌