OAuth简介（包含简明使用教程）

最新推荐文章于 2022-09-07 11:48:29 发布
最新推荐文章于 2022-09-07 11:48:29 发布
阅读量234 收藏
点赞数
文章标签： json git javascript ViewUI
原文链接：http://www.cnblogs.com/chentianwei/p/9531091.html
版权

SSO：用户一次登陆后在多个系统免登录。

博客gem 'doorkeeper'  https://i.cnblogs.com/EditPosts.aspx?postid=9255973

 

OAuth：用户授权第三方应用访问自己的资源无需提供账号密码。

1. 维基百科：

OAuth（开放授权）是一个开放标准，允许用户让第三方应用（网站/app）访问该用户在另一网站（qq, 微博，微信等等）上存储的私密的资源（如照片，视频，联系人列表），而无需将用户名和密码提供给第三方应用。 

OAuth允许用户提供一个令牌，而不是用户名和密码来访问他们存放在特定服务提供者的数据。每一个令牌授权一个特定的网站（例如，视频编辑网站)在特定的时段（例如，接下来的2小时内）内访问特定的资源（例如仅仅是某一相册中的视频）。这样，OAuth让用户可以授权第三方网站访问他们存储在另外服务提供者的某些特定信息，而非所有内容。

 

2 流程图（用git账号登陆第三方网站）

 

3. devise使用OmniAuth

 

 

简单易学的PPT:（作者大?）

 

 https://ruby-china.org/topics/15825

(笔记和摘录)

 目标

  • OAuth2 协议怎么运行的
  • 看懂基于OAuth2的第三方API
  • 知道怎么用Oauth2 锁你的API(不理解) 

 课表

  • Oauth2是什么
  • 通信协定怎么跑
  • 制造Oauth2 Provider的方法（没看, 幻灯片224页）
  • 第一次用rails+ grape api整合oauth2 就上手（略， 244页）

 

 

OAuth2.0:  the OAuth2.0 authorization framework

 

Oauth2是什么：

 

Resource

Resource Owner = User的情况 
  • 就是你的网站上的User
  • API拉到的是根User有关的资料
  • 比如好友名单，信件内容
  • 授权必须由本人亲自确认
Resource Owner = Client
  • 爬公开的资料，没有个体人的存在
  • Twitter称为App-Only Authorization
  • Facebook称为App Access Token

 

Client

  • User授权给第三方程序，这个程序就是Client (我的理解：web网站服务器)
  • 例子：手机上的APP, Facebook上的游戏， 桌面app。
Client必须事先注册
  • “Client Registration”
  • Client ID
  • Client secret (密码)
  • Redirect URl （重要?）

在Facebook上注册获得facebook_app_id, facebook_app_secret, 在facebook上设置redirect URIs

Redirect URI
  • User本人确认使用Facebook登陆后，返回结果到Client。
  • 要事先指定URl, 若不一致，则不可Redirect过去
  • 可以指定多组，上面的图指定了2组。
  • 推荐使用HTTPS.

 

Public 对比 Confidential Client
  • 根据【能否保护资料】来区分：
  • Confidential-Server-Side application 机密的服务器端程序
  • Public-手机app/桌面程序／Javascript App/ Browser Extension

Client Authorization（使用于Confidential Client）

    • 出示Client ID + Secret 向 Auth.Server认证自己（我是一个服务器商业机构，我想获得user的信息）
    • Client要登入到Auth.Server(Facebook的开发者相关的服务器)

Client

    • 有ID/Secret用于登陆
    • 用Redirect URI确认 浏览啊转地址到 正确的Client.
    • Public/Confidential 这2种模式有各自的授权流程(token获得流程)

 

Endpoints(可见下面的图)

3个端点：

 

  • Authorization Endpoint(授权端)： 用来给User本人确认授权
  • Token Endpoint: 用来让Client(如：商业网站)得到Token
  • Redirection Endpoint:  Client用来收取资料的URls

 

Authorization Endpoint
  • 给用户User本人一个用于授权的网页，可以填写账号名，密码。
  • Client拿到Grant授权状，不是token。
  • Resource Owner/User答复之后, 验证服务器（facebook）会把批准码grant传回到Redirect URI
Redirection Endpoint
  • 用来从browser接收Auth.Server来的资料。
  • 把资料存在Client上（猜测：这里是商业网站服务器上）
  • Client在facebook上注册时，填写Redirection URL就是callback URL
Token Endpoint
  • 给Client取得真正的Token
  • JSON API 机械化界面，无网页。

 

Resource Server

  • Client必须出示Token才能拿资料
  • 可以使用Scope限制Token的取用范围。
  • Password-Free API
  • Login via Your Website 

 

 

 

Parameters 和 Data

Client ID/Secret

  • 用于Client认证（Client 登入到Auth.Server）
  • HTTP Basic Auth或包在Form里面。（禁用URL）

Id和secret被base64()生成乱码，放入请求头中：

Basic Auth Header

Authorization: Basic xxx乱码

 

Token(s)

  • Access Token: 打Api用的
  • Refresh Token: Access Token过期可以换新的
Access Token:
    • 向Resource Server要资料（user信息）
    • 可以绑定一组Scope
    • 可以设定气息，可以撤销Revoke
    • 授权流程的目标就是拿到Access Token
Refresh Token
    • 换发Access Token用，只会传到Auth.Server
    • 和一个Access Token绑定，随Access Token一切核发
    • 用过就失效，新的Access Token会绑定新的Refresh Token

 

Scopes

  • 用来表示哪行资料可以存取的权限范围。
  • 如： 好友名单， 相片， friends_list, photos
  • 申请授权时可以规定它。

 

State

  • 用来放在CSRF攻击(cross site request forgery)
  • Rails使用了校验token防止了这种攻击。

 

 

怎么运行的：如果取得授权（从client视角，程序程序开发者视角）

  1. Client 向Res.Owner取得Grant
  2. Client 用Grant向Authorization Server换Token
  3. Token拿到，去打API
常见的scenario:

有网站Facebook, 你希望在那上面的User(Resource Owner)，

透过Facebook的Authorization Server,

给你的网站（Client）权限(Token)，可以读取那User的资料（Resource Server）

例子：使用你网站的user无需注册，而是使用Fackbook／qq的账号注册。 

 

Authorization Code Grant Flow:

  • Grant是具体string, 称为Code
  • 需要经过Browser
  • 适用Client：商业网站 。

 

 

具体过程见幻灯片（40多张）

https://speakerdeck.com/chitsaou/jian-dan-yi-dong-de-oauth-2-dot-0?slide=73

 

步骤A之前，已经在Facebook上注册了。

当网站上的用户点击login with Facebook按钮的时候：

(A)发出Get request：

猜测：还应该包括用户输入facebook的账号和密码。这样facebook才能找到对应用户的Res.Owner

（B）的过程，在浏览器上弹出对话框问，是否授权，用户选择同意。进入(C)
  (C)  的过程，Authorization Server传回Client数据：Grant Code。

如果（B）不授权，（c）Client收到错误的信息。

Redirection endPoint会检查state和存的数据是否一致。没问题就去换Token了。

（D）步骤：
  • 这是服务器后台的事情。
  • 发出 POST request到Auth.Server的Token Endpoint换Token

 

(E)步骤：

Authorization Server:

  1. 确认Client Auth（Id/Secret）正确。
  2. 找到Grant Code, 并确认Redirect URI 相同
  3. 发Token

Client的Token Request的Response 是 JSON Response

可以一并发Refresh Token

 

 

手机app/桌面app因为，客户端验证不可信，所以另有一套implicit grant flow。

具体见108页的幻灯片。

 

自产自用的，Resource Owner Password Credentials Grant Flow

具体见148页的幻灯片。

注意：需要Resource Owner高度信赖Client。可以做系统内建的应用或官方应用程序。

 

不需要User, 只存取公开资料， Client Credentials Grant Flow  160页

 

发生错误时的回应方式171页

 

 

拿到Token了，如何打API 

(RFC6750 'Bearer token usage') . https://tools.ietf.org/html/rfc6750

 

发生错误时的回应方式211

 

Token过期，换掉。 Token Refresh（217页）

  

制造OAuth2 Provider的方法 =造Authorization Server (没看)

 

第一次用rails+ grape api整合oauth2 就上手(244页， 有详细步骤)

  • 用Devise生成User(Resource Owner)
  • 用Doorkeeper盖 Authorization Server
  • 用Grape盖API (Resource Server)
  • 自己刻 Resource Server Guard 来锁api

第2步骤：

rails g doorkeeper:install

rails g doorkeeper:migration

rails db:migrate

生成3个new tables

  • oauth_application: 用于Clients 注册
  • oauth_access_grant: 用于储存Auth Grant Codes
  • oauth_access_token: 真正核发出去的Access Tokens,包含对应的Refresh Token

 

routes.rb

Doorkeeper 内建的4个部分：

  • Authorization Endpoint 和 Token Endpoint
  • Token Debug Endpoint (在implicit flow验证token的真实性)
  • Client Registration Interface(crud)
  • User管理授权过的Clients的界面（可Revoke）

 

 

 

 

 

 

 

 作者最后表示完全弄懂的话，必须看HTML官方文档。

 

转载于:https://www.cnblogs.com/chentianwei/p/9531091.html

weixin_30536513
关注
ASP.NET简明教程
06-08
这个“ASP.NET简明教程”旨在为初学者提供一个全面而简洁的学习路径，涵盖ASP.NET的核心概念和技术。 在ASP.NET中，你将学习到： 1. **Web Forms**：这是ASP.NET的最早形式，它引入了事件驱动模型，使得Web开发更...
ASPNET简明教程
07-01
本简明教程将带你深入理解ASP.NET的核心概念和技术。 首先，ASP.NET的核心组件包括ASP.NET MVC（Model-View-Controller）、ASP.NET Web Forms、ASP.NET Core以及ASP.NET SignalR等。MVC模式是一种广泛采用的设计...
两个系统跳转实现免登录(单点登录)
书中自有妍如玉的博客
09-07 1万+
2.点击跳转，拿着用户名+token重定向到B站，B站在全局路由守卫beforEach判断to.query.token和to.query.userName是否为空，不为空则代码从别的的系统跳转过来的，调用免密登录（用户名+token）获取用户权限数据信息。B站持久化储存或Vuex储存。1.A站登录后，拿着A站账号名获取B站的token，同时在B站保存改账号的信息（用户名+token+过期时间）定义：多个系统之间在某个系统登陆一次即可访问所有系统。假设A站登录，跳转B站无需登录。3.B站跳转A站同上。
微信oauth2授权登录实践
热门推荐
MJ的博客
11-01 1万+
1、准备工作 微信公众平台测试号申请一个帐号，扫码登录 扫码关注一下，否则获取授权码时报错 授权成功回调地址redirect_url配置，可配置baidu.com，有些域名会有问题 绑定微信开发者账号 二、按照文档走oauth2授权码流程 1.获取授权码。scope为snsapi_base为静默模式及自动授权不会弹框，而snsapi_userinfo则必须显示点击确认授权按钮。redirecurl需要URLencode一下。 https://open.weixin.qq.com
对接微信公众（开放）平台，获取微信用户信息，实现第三方登录
zifengye520的专栏
01-15 8239
系统实现第三方认证，使用微信登录，获取微信用户的信息
OAuth使用教程（一）:初识OAuth
zhuyunier的博客
01-29 7823
一、OAuth介绍   OAuth（开放授权）是一个开放标准，允许用户授权第三方移动应用访问他们存储在另外的服务提供者上的信息，而不需要将用户名和密码提供给第三方移动应用或分享他们数据的所有内容。   OAuth允许用户提供一个令牌给第三方网站，一个令牌对应一个特定的第三方网站，同时该令牌只能在特定的时间内访问特定的资源。 二、OAuth2 角色 OAuth 2 标准中定义了以下几种角色： 资源...
简明饭否机器人教程（使用Python）_Python_Batchfile_下载.zip
最新发布
04-25
《简明饭否机器人教程（使用Python）》 在当今的社交网络时代，饭否作为一个中文微型博客平台，吸引了众多用户。本教程将带你走进饭否机器人的世界，利用Python编程语言来创建一个自动化发送消息、互动的机器人。...
基于令牌的身份验证简明示例教程
JWT令牌由三部分组成：Header（头部）、Payload（载荷）和Signature（签名），头部指明了令牌类型和使用的签名算法，载荷包含声明（claims，如用户ID、管理员状态等），签名则是用服务器的密钥对头部和载荷进行加密...
ASP.NET简明教程（C#篇课件）.
05-01
本简明教程针对C#程序员，旨在帮助他们快速掌握ASP.NET的开发技能。课程内容可能涵盖了以下几个关键知识点： 1. **ASP.NET Web Forms**：ASP.NET Web Forms是ASP.NET框架的核心部分，它允许开发者通过拖放控件和...
两个系统之间跳转免密登录
我的技术博客
06-29 9641
两个系统之间跳转,免密登录
WeiBo官网oauth2开发文档理解
weixin_34021089的博客
11-22 133
Client按照下面的三个大步骤与WeiBo交互。1）获得Authorization Grant  2）利用该Grant获得Access Token 3）consumer存储token并利用它访问资源。 Client就是第三方应用或者Consumer。注意不要与终端用户混淆。最终的Access Token不是保存到浏览器端的用户cookie里面，而是保存到Client上面。WeiBo可以理解...
基于 OAuth 的 API 认证解决方案：Passport
slqgenius的博客
04-22 1744
https://xueyuanjun.com/post/21568 简介 Laravel 通过传统的登录表单已经让用户认证变得很简单，但是 API 认证怎么实现？API 通常使用令牌（token）进行认证并且在请求之间不维护会话（Session）状态。Laravel 官方扩展包 Laravel Passport 让 API 认证变得轻而易举，Passport 基于 Alex Bil...
web服务器应用中使用Oauth
面朝大海，春暖花开
06-25 722
web服务器应用中使用Oauth 摘自《OAuth2.0 Identity and Access Management Patterns》 授权码模式(Authorization code grant) 我们了解到授权码模式有以下特性: 授权码模式一般用于信任的客户端(confidential clients) 它需要重定向，因此它是基于重定向的流程(redirection-base...
OAuth2.0授权码登录详解
zhang09090606的博客
07-04 4480
一、概述 我们平时登录各种网站时都会用到第三方账号登录，比如qq账号授权登录、GitHub账号授权登录等等，那么究竟是怎么实现的第三方账号登录的呢，其实就是通过OAuth2.0的机制 接下来的叙述都以微信登录同程旅行为例，先看下授权登录用户操作流程 1.用户先点击微信登录 2.弹出授权框点击同意后登录成功 二、OAuth2.0 重要的参数 （1）code码: 用户点击微信登录时，同程的客户端会调用微信提供的授权组件弹出授权框，当用户点击授权，那么微信组件将会申请一个code码给
springboot和springsecurity整合OAuth2
足迹人生的博客
01-13 2958
springboot和springsecurity整合OAuth2
oauth2_0 第三方登录进阶
taiguolaotu的博客
04-01 354
参考码云 sql及其步骤都在其中 这辈子坚持与不坚持都不可怕，怕的是独自走在坚持的道路上！ 欢迎加入技术群聊！
OAuth 2.0 教程
QiHY的专栏
09-04 9439
OAuth 2.0 （原文：http://tutorials.jenkov.com/oauth2/index.html）OAuth 2.0 教程OAuth 2.0 是一个开放的标准协议，允许应用程序访问其它应用的用户授权的数据。例如：一个游戏可以获取Facebook中的用户信息，或者是一个地理位置程序可以获取Foursquare的用户信息等。 这儿是一个示例图： 首先用户进入游戏的web应用
OAuth 2.0授权框架中文版 [3] - 协议端点
李浩好好学习
10-26 633
OAuth 2.0授权框架中文版 [3] - 协议端点3. 协议端点 - Protocol Endpoints3.1 授权端点 - Authorization Endpoint3.1.1 响应类型 - Response Type3.1.2 重定向端点 - Redirection Endpoint3.1.2.1 授权请求保密性 - Endpoint Request Confidentiality3.1.2.2 注册条件 - Registration Requirements3.1.2.3 动态配置 - Dyn
使用JMeter进行OAuth1.0认证的详细教程
1. 设置OAuth参数：定义OAuth相关的参数，包括URL、realm、oauthToken、oauthTokenSecret、oauthConsumerKey和oauthConsumerSecret。这些参数是OAuth协议中的核心元素，用于验证请求的来源和合法性。 ```java ...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值