RFC 6750不记名令牌

编号：OAPI-DESIGN-003
作者：刘海龙
微博：[http://weibo.com/liuhailong2008]
博客：[http://blog.csdn.net/stationxp]

含义

oAuth使客户通过令牌而不是资源所有者的凭证来访问受保护资源，在RFC 6749中，访问令牌（access token）被定义为：颁发给客户端代表访问权限的字符串。

不记名令牌（bearer），顾名思义，除令牌本身外，不再验证其他权限。凭借访问令牌即可实现对受控资源的访问，因此，令牌的传输安全就极其重要。
令牌本身隐含的语义包括：范围、实效，也可以包含其他授权属性。在RFC 6750中强调了不记名，和身份相关的属性应该摒弃。

bearer ：单词本意是递送人，持有人。
典型应用：网盘共享文件，设置提取码，谁知道提取码都可以提取文件。

RFC 6750定义了采用传输层安全（TLS，RFC 5246）在HTTP上使用不记名令牌访问受保护资源。要求强制令牌传输过程中，强制使用 TLS。
不记名身份验证方案主要采用 使用WWW-Authenticate和Authorization的HTTP头部作为服务器身份验证。

RFC 2617

算法

b64token = 1 * (ALPHA / DIGIT/"-"/"."/"_"/"~"/