oAuth2.0简单使用与Demo

一、关于oAuth2.0
关于什么是oAuth2.0，以及相关的名词网上有很多解释，再次不做赘述，本文将直接结合一个实例，来描述oAuth2.0的原理流程。

二、前提说明
本文的案例的环境为SpringBoot（其实这个并不重要），以使用码云的账号登录为例子，所以需要先注册一个码云的账号。

三、Demo
首先创建一个WEB项目，并且写一个最简单的登录页面。

这是一个简单到不能在简单的登陆页面了，用户别无选择，只能使用码云的账号登陆我们的网站或系统。

整个页面的代码只有超链接，注意着链接的访问地址后面带有三个参数，第一个参数是我们当前的应用在码云上注册的时候获取的Id，第二个参数是一个回调地址，第三个参数是一种固定写法，表示我们使用授权码的方式获取令牌。
关注点（1）：当我们自己的网站应用需要提供使用第三方账号登陆的功能的时候，比如使用QQ，微信，微博，码云等等，首先需要做的是在对应的网站上去注册我们的应用。

比如上面，是我在码云上注册的当前Demo，在注册的时候，我们只需要填写我们应用的网址，回调地址（这个后面说），应用描述以及希望获取那些用户信息，然后提交申请之后，码云会给我们ClientID和ClientSecret这两个字符串，其中ClientID就是我们的应用在码云认证服务上的唯一标识，也是我们在登陆页面超链接后面附带的client_id的值。

关注点（2）：当用户在我们的网站登录页点击“码云登录”后，相当于网站将用户的浏览器重定向到码云的授权许可页面（这也是网上很多原理图中描述的第一次重定向）

上面这个就是重定向之后的码云的授权页面，（其他的诸如QQ，微信等等，差不多都是类似的页面）。这个页面里用户可以选择同意授权。
用户选择同意授权后是不是就能获取到 用户在码云上注册的用户信息呢？肯定不是！接下来将会多个步骤，而这些步骤对于用户来说是无法感知的，所有的交互度都发生在我们自己网站的后台。
1.首先，码云确认用户同意授权后，会发放一个授权码给我们的网站，那码云是怎么发给我们的网站呢？它实际上使用的就是回调地址。这个回调地址我们在码云上注册应用的时候就会让我们填写，我们在首页的“码云登录”链接也需要加入这个参数，这个回调地址就是告诉码云（认证服务器），如果用户同意授权了，那么你应该让浏览器跳转到哪个地址上去。
也就是说这里是发生了第二次重定向，码云让用户的浏览器重定向到了我们的回调地址上，并且加上授权码作为参数。
在我们的DEMO中，我们只需要在后台写一个requestMapping去相应回调地址的请求即可：

到了这一步，我们网站的后台就能拿到码云传递给我们的授权码。上面的两次重定向的作用分别是让浏览器去访问码云（认证服务器）的授权许可页面，以及授权成功后再让浏览器重定向回我们自己网站的某个页面。
拿到授权码后，我们的后台需要再次向码云发起请求，用授权码去换令牌，这里可能会有疑问，为什么要多此一举，用户同意授权后直接把令牌发给我们网站不就行了吗？最显而易见的一个原因就是，码云让浏览器重定向回我们自己的网站的时候，浏览器的地址栏是可以看到回调地址以及绑定参数的，也就是说如果将令牌像授权码一样直接绑定到回调地址的参数后，令牌是会泄露的。
所以我们需要在后台先获取授权码，然后在后台去申请交换令牌。

上面的代码只有参考意义，可以有不同的实现方式。在代码中，换取令牌的请求地址以及需要传递哪些参数，在认证服务提供方的接入说明页面都会由详细的API和介绍流程，每个厂家的地址都不一样。我们需要注意的是在这次请求中，我们除了需要附上授权码，client_id，回调地址外，还需要附上client_sercret，这个参数的值，在注册应用的时候会由认证服务提供方给我们。
请求发送之后，我们就可以拿到令牌，也就是accessToken。
可以看到在上面的步骤中，除了需要验证授权码外，还要再次验证被授权方（也就是我们的网站）的身份，通过client_id和client_secret来实现，整个过程包括client_secret和获取到的令牌的值都只在我们网站的后台发生和出现，用户根本无法得知，从而进一步保证了oAuth2.0协议的安全性。
拿到令牌后，我们就可以去访问用户的资源，不同的厂家会提供不同的资源访问地址（查各个厂家提供的API），但是都会要求在请求地址后面加上令牌。

获取成功后，我们就能拿到用户的信息，从而让用户登录系统，跳转到指定页面。

所以对于用户而言，实际上他能看到的就是点击“码云登录”后，浏览器跳转到了码云的授权许可页面，点击同意授权后，浏览器又跳回了网站的登录成功欢迎页面，这个中间网站与码云之间的几次交互对于用户是完全透明的，用户实际上也不知道令牌是什么。
当然，上面这个Demo中，浏览器的地址不是很友好，我们还可以在回调请求方法最后再次重定向，将浏览器重定向到我们网站的首页或主页，


这样对于用户而言，完全就无法感知到点击完权人授权之后发生的一系列的事情，他只能看到登录成功并且进入网站主页了。