OAuth--Open standard for Authorization

最新推荐文章于 2023-03-17 20:18:40 发布
最新推荐文章于 2023-03-17 20:18:40 发布
阅读量124 收藏
点赞数
文章标签： python 操作系统
原文链接：https://my.oschina.net/u/2987490/blog/1480230
版权

2019独角兽企业重金招聘Python工程师标准>>> hot3.png

 

       OAUTH

1. 什么是OAuth ?

官网这样说...

An open protocol to allow secure authorization in a simple and standard method from web, mobile and desktop applications.

  • OAuth 即 Open standard for Authorization
  • OAuth就是一个网络开放协议。为保证用户资源的安全授权提供了简易的标准
  • 在知乎上看到了一个比较直观的比喻，有助于初学者理解。知乎话题链接

2. OAuth 历史版本

  • 2007-12 OAuth 1.0发布并迅速成为工业标准。
  • 2008-06 OAuth 1.0 Revision A发布，这是个稍作修改的修订版本，主要修正一个安全方面的漏洞。
  • 2010-04，OAuth 1.0 协议发布为 RFC 5849
  • 2011-05 OAuth 2.0 草案发布
  • 2012-10 OAuth 2.0 协议发布为 RFC 6749

3. OAuth 1.0

OAuth 1.0 协议过于复杂，易用性差，所以并没有得到普及，下文中给出了授权的流程图，可以简单了解了解，现在很少有用的了。

OAuth Authentication Flow

OAuth Authentication Flow

关于OAuth 1.0， 想了解的可以看看这些：

4. OAuth 2.0

OAuth 2.0是目前的最新版本，OAuth 2.0不兼容OAuth 1.0。这篇文章主要讲讲OAuth 2.0，并以此展开。

先来说一个场景：比如你第一次打开简书官网，想要注册一个账号。你会看到简书允许你通过新浪微博账号登陆。当你点击之后，需要你登陆微博。之后会出现“是否同意简书获取你的个人信息”等等，如果你选择授权，之后会跳转回简书。你会发现你在简书的用户名就是你微博的用户名。然后，你会发出一条新的微博比如“我加入了简书，一个基于内容分享的社区！”(这只是举个例子，不知道简书有没有这样做)。

好了，这回开始进入正题

4.1 角色(roles)

OAuth 2.0 定义了四个角色：

  • 资源拥有者(Resource Owner)
    资源拥有者其实就是用户(user)，用户将会授权一个第三方应用可以获取他们的账户资源。当然第三方应用程序对于用户账户的操作是有限制的(比如，read access, read and write access)！这个限制就是用户授权时给予的权限范围(scope)
    上面场景中，微博账户就是资源拥有者。read access就比如读取微博用户名，write access就比如以你的名义发了一个微博。

  • 客户端(Client)
    客户端就是前面说的第三方应用程序，他们想要获取用户的账户资源，但在这么做之前必须经过授权
    上面场景中，简书就是客户端

  • 资源服务器(Resource Server)
    资源服务器存放用户账户以及账户信息和资源
    上面场景中，新浪微博就是资源服务器，同时也是授权服务器

  • 授权服务器(Authorization Server)
    授权服务器验证用户身份，并为第三方应用程序颁发授权令牌(access token)

资源服务器与授权服务器可以是同一台服务器，这里分开主要是便于解释清楚OAuth协议。从程序开发者的角度，这两个都是service's API会执行的事情。

在了解完OAuth中的四个角色之后，我们看看这四个角色之间是如何互动的。下面是基本运行流程。

Abstract Protocol Flow

Abstract Protocol Flow

  1. 应用程序向用户请求给予授权，以便获取服务器资源
  2. 如果用户同意授权，应用程序将获得相应授权
  3. 应用程序向授权服务器提供自己的身份证明(app key和app secret)和已被授权的证明(authorization grant)，并请求访问令牌(access token)
  4. 如果应用程序的身份被核实，并且授权是有效地，那么授权服务器将会发放访问令牌给应用程序。此时，授权完成
  5. 应用程序向资源服务器出示访问令牌，并请求资源
  6. 如果访问令牌是有效的(比如：是否伪造，是否越权，是否过期)，资源服务器将会为应用程序提供资源

4.2 应用程序注册(Application Registration)

对于一个应用程序来说，如果它想要使用OAuth，那么首先它要在服务提供商那里注册。一般出现在网站的“developer”或者“API”部分。

应用程序要提供：

  • 应用程序名称(Application Name)
  • 应用程序网站(Application Website)
  • 回调URL(Redirect URI or Callback URL)

在用户同意授权(或者拒绝)之后，服务提供商会将用户重新导向这个Callback URL，这个Callback URL要来负责处理授权码或者访问令牌。

应用程序注册完成之后，服务提供商会颁发给应用程序一个“客户端认证信息(client credentials)”。Client Credential包括：

  • Client Identifier(client ID/API key/consumer key)
    • 提供给服务提供商，用于识别(identify)应用程序
    • 用于构建提供给用户请求授权的URLs
  • Client Secret(secret key/API secret/consumer secret)
    • 提供给服务提供商，用于验证(authenticate)应用程序
    • 只有应用程序和服务提供商两者可知

4.3 授权许可类型(Authorization grant types)

OAuth 2.0 定义了四种授权模式：

  • 授权码模式(Authorization Code)
    used with server-side Applications
  • 隐式授权模式(Implicit)
    used with Mobile Apps or Web Applications (applications that run on the user's device)
  • 资源拥有者密码凭证模式(Resource Owner Password Credentials)
    used with trusted Applications, such as those owned by the service itself
  • 客户端模式(Client Credentials)
    used with Applications API access

4.4 授权码模式(Authorization Code)

  • 授权码模式是最常见的一种授权模式，最为安全和完善。
  • 对于服务器端应用程序(server-side application)来说，可以保证Client Secret的安全性。应用程序必须能够和用户代理(user agent)进行交互，获取API授权码。

Authorization Code Flow

Authorization Code Flow

第一步：客户端把用户代理定向到授权终端(Authorizaiton Endpoint)

https://www.example.com/v1/oauth/authorize?response_type=code&client_id=CLIENT_ID&redirect_uri=CALLBACK_URL&scope=read
  • www.example.com/v1/oauth/authorize: API授权的终端(Authorization Endpoint)
  • client_id: 应用程序的client ID，用于API识别应用程序
  • redirect_uri：获得授权码之后，服务提供商重定向用户代理(比如浏览器)的地址
  • response_type：表明授权类型，默认值是code，即授权码模式(Authorization Code Grant)
  • scope: 即应用程序可以获得的授权级别(access level)，默认值为read
  • state: 表示客户端的当前状态，可以指定任意值，认证服务器会原封不动地返回这个值，用于抵制CSRF攻击。

第二步：用户授权应用程序

用户点击上述URI之后，用户首先要登陆，证明其身份。然后选择同意授权应用程序可以访问他们的账户或者拒绝。

是否允许简书访问你的微博账户

是否允许简书访问你的微博账户

第三步：应用程序获取授权码

如果用户同意授权，服务提供商会将用户代理重定向到第一步中的redirect_uri，并且会包含授权码。

https://www.jianshu.com/callback?code=AUTHORIZATION_CODE

第四步：应用程序请求授权令牌

应用程序向API token终端发送刚刚获得的授权码，以及认证信息。

https://www.example.com/v1/oauth/token?client_id=CLIENT_ID&client_secret=CLIENT_SECRET&grant_type=authorization_code&code=AUTHORIZATION_CODE&redirect_uri=CALLBACK_URL

URI中包括：

  • www.example.com/v1/oauth/token： API token的终端
  • client_id：即app key/consumer key，用于验证应用程序
  • client_secret： 即app secret/consumer secret，用于验证应用程序
  • grant_type：刚刚获得的授权码
  • redirect_uri: 重定向URI，与第一步一致

第五步：应用程序获得授权令牌

如果上一步验证有效，API将返回一个HTTP回复。

{"access_token":"ACCESS_TOKEN","token_type":"bearer","expires_in":2592000,"refresh_token":"REFRESH_TOKEN","scope":"read"}

HTTP回复中包含：

  • access_token：访问令牌
  • token_type：令牌类型，bearer类型或mac类型。详细
  • expires_in：过期时间，单位为秒。
  • refresh_token：更新令牌，用来获取下一次的访问令牌，可选项。
  • scope：权限范围，如果与客户端申请的范围一致，此项可省略。

4.5 隐式授权模式(Implicit)

  • 隐式授权模式主要用于客户端应用程序(client-side application)，比如手机应用、桌面客户端应用程序和运行于浏览器上的web应用程序。
  • 因为没有server端，client secret的保密性不能得到保证。授权令牌给予用户代理(比如，浏览器)，再由用户代理交给应用程序。所以用户设备上的其他应用程序同样可以得到授权令牌。
  • 隐式授权模式中，应用程序不需要认证。
  • 隐式授权模式不支持refresh token。

Implicit Flow

Implicit Flow

第一步：客户端把用户代理定向到授权终端(Authorizaiton Endpoint)

  • 授权终端是https://www.example.com/authorize
  • 与授权码链接类似，只不过response_type=token而不是code
https://www.example.com/authorize?response_type=token&client_id=CLIENT_ID&redirect_uri=CALLBACK_URL&scope=read

第二步：用户授权应用程序

用户点击上述URI之后，用户首先要登陆，证明其身份。然后选择同意授权应用程序可访问他们的账户或者拒绝。

是否允许简书访问你的微博账户

是否允许简书访问你的微博账户

第三步：用户代理收到授权令牌

假设用户同意授权，授权服务器重定向用户代理到第一步提到的redirect_uri。并在URI fragment中包含授权令牌(但不能查看)。

https://www.example.com/callback#token=ACCESS_TOKEN

第四步：用户代理向资源服务器发出请求

用户代理依照重定向的指令，向资源服务器发出请求，但并不包含上一步中得到的授权令牌(#后面的部分)。用户代理将完整的重定向URI保存在本地。

第五步：资源服务器返回一个网页

资源服务器会返回一个网页(通常是一个HTML文件内嵌一段脚本)。这段内嵌的脚本(script)可以访问第三步中用户代理保存在本地的完整的重定向URI，并从中提取授权令牌。

第六步：用户代理提取授权令牌

用户代理执行上面提到的脚本，提取出授权令牌。然后将授权令牌传递给应用程序。

4.6 资源拥有者密码凭证模式(Resource Owner Password Credentials)

  • 在资源拥有者密码凭证模式中，用户直接向应用程序提供其认证信息(即用户名和密码)。应用程序依此向授权服务器获取授权令牌。
  • 这种模式适用于用户对应用程序高度信任的情况。比如是用户操作系统的一部分。
  • 认证服务器只有在其他授权模式无法执行的情况下，才能考虑使用这种模式。

Password Credentials Flow

Password Credentials Flow

第一步：用户传递认证信息

用户将用户名和密码交给应用程序。

第二步：应用程序请求授权令牌

  • 应用程序得到用户认证信息后，向授权服务器请求授权令牌。
  • 请求授权令牌终端https://www.example.com/token
  • response_type=password，前面提到的两种分别是code和token。
https://www.example.com/token?grant_type=password&username=USERNAME&password=PASSWORD&client_id=CLIENT_ID

第三步：授权服务器返回授权令牌

如果用户的认证信息得到验证，授权服务器将向应用程序返回授权令牌。

4.7 客户端模式(Client Credentials)

  • 客户端模式应用于应用程序想要以自己的名义与授权服务器以及资源服务器进行互动。
  • 比如应用程序想要修改自身注册信息或者redirect URI。又或者想要获取资源服务器中不与具体用户相关的信息。比如一个应用程序想要获取新浪微博中含有#happy的微博。
  • 严格意义上说，客户端模式并不是OAuth协议要解决的问题，因为并未涉及授权。

Client Credentials Flow

Client Credentials Flow

第一步：应用程序请求授权令牌

  • 应用程序向授权服务器提供自身认证信息(client ID和client secret)，并请求授权令牌。
  • 请求授权令牌终端https://www.example.com/token
  • response_type=client_credentials，前面提到的两种分别是code、token和password。
https://www.example.com/token?grant_type=client_credentials&client_id=CLIENT_ID&client_secret=CLIENT_SECRET

第二步：授权服务器返回授权令牌

授权服务器验证认证信息，向应用程序返回授权令牌。

4.7 更新令牌(Refresh Token)

  • 如果授权令牌过期，在进行API请求时会报错Invalid Token Error
  • 如果在获取授权令牌时，同时获得了refresh token，那么我们可以向授权服务器申请更新令牌。
  • grant_type = refresh_token
  • scope：表示申请的授权范围，不可以超出上一次申请的范围，如果省略该参数，则表示与上一次一致。 
    https://www.example.com/v1/oauth/token?grant_type=refresh_token&client_id=CLIENT_ID&client_secret=CLIENT_SECRET&refresh_token=REFRESH_TOKEN

                              原文：http://www.jianshu.com/p/b06944c92228

转载于:https://my.oschina.net/u/2987490/blog/1480230

weixin_33716154
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
spring-security-oauth2-authorization-server.zip
08-25
本文以最简配置搭建一个授权服务，让大家初步了解授权服务及相关表。 token 存于数据库中 例子基于Spring Boot 2.1.7.RELEASE ，使用mysql数据库
理解开放授权(Open Authorization,OAuth)
麦地与诗人
07-07 902
为了理解OAuth的适用场合，让我举一个假设的例子。 有一个"云冲印"的网站，可以将用户储存在Google的照片，冲印出来。用户为了使用该服务，必须让"云冲印"读取自己储存在Google上的照片。 问题是只有得到用户的授权，Google才会同意"云冲印"读取这些照片。那么，"云冲印"怎样获得用户的授权呢？ 传统方法是，用户将自己的Google用户名和密码，告诉"云冲印"，后者就可以读取用户的照片了。这样的做法有以下几个严重的缺点。 （1）"云冲印"为了后续的服务，会保存用户的密码，这样很不安全。 （2）Go
OAuth2.0授权码模式介绍
well_nature的专栏
03-17 588
OAuth（Open Authorization），是一种开放标准授权协议。用于让用户可以授权第三方系统，访问自己在另一个系统上拥有的资源。本文主要讲述OAuth里的授权码模式。
【python】接口自动化-Authorization使用
peanut_attack的博客
01-23 4448
这里写自定义目录标题接口自动化-Authorization使用接口信息和工具Authorization用法1Authorization用法2Authorization用法3对比 接口自动化-Authorization使用 整理接口自动化的时候，发现有接口使用了Authorization，整理了下使用方法。 接口信息和工具 工具环境：pyhton3.7，PyCharm，requests 接口信息：普通接口,Method为GET; 特殊点：接口调用时headers中有一个参数 Authorization 值为
用python实现 Authorization
定格空间
10-24 5019
大家可能会碰到这种情况：当登录网站时候，需要验证，系统提示你输入用户名和密码 当我们用抓包工具检查时候，会发现有这个字段：Authorization：value，这个value是用户信息经过加密后的， 我们如果想通过程序访问这个网站，请求头必须有这个字段。 这时候需要使用base64对用户信息进行加密 请看代码： import base64 username = “用户信息” password = “”用户密码” user_info_str = username + “:” + password user_
webis个人主页设计_Web用户的身份验证及WebApi权限验证流程的设计和实现
weixin_39945871的博客
12-23 292
前言：Web 用户的身份验证，及页面操作权限验证是B/S系统的基础功能，一个功能复杂的业务应用系统，通过角色授权来控制用户访问，本文通过Form认证，Mvc的Controller基类及Action的权限验证来实现Web系统登录，Mvc前端权限校验以及WebApi服务端的访问校验功能。1. Web Form认证介绍Web应用的访问方式因为是基于浏览器的Http地址请求，所以需要验证用户身份的合法性。...
oauth-proxy docker 镜像
03-30
原生镜像。 registry.access.redhat.com/openshift3/oauth-proxy版本号是v3.7.23-3
jpsite-security-oauth2-open:微服务开放API授权平台
05-28
jpsite-security-oauth2-open（微服务开放API授权平台）本项目是一个基于oath2协议的应用，实现的的功能逻辑与，类似，都是同一套认证授权流程。项目结构简单易懂，却不偷工减料，在学习完本Demo后，Demo中的项目...
discord-oauth-example:DISCORD OAUTH
05-26
discord-oauth-example DISCORD OAUTH我如何开始？ 在您的终端中运行git clone https://github.com/joeleeofficial/discord-oauth-example.git 。 运行npm i确保您已安装Nodejs 在创建应用程序添加重定向URL 编辑...
oauth-graphql-ide:受oauth保护的graphQL IDE
03-04
oauth-graphql-操场 一个受oauth2保护的 特征 服务用户界面/ 使用登录如果令牌已过期或无法刷新，则自动将用户重定向到登录 将受本地会话保护的http代理/proxy到远程graphQL服务器/端点自动将带有oauth承载令牌的...
接口安全二：OAuth2（open authorization，开放授权）
xiaozm1223的博客
04-18 1398
授权流程如下： 简单以业务场景串起来就是：张三（客户端）想取货，先去找管理货物的领导，领导给他一个授权码，并指导他去门卫那里拿通行证，门卫核实授权码后给张三一个通行证（token 短时间有效），张三拿到通行证去仓库取货。 领导给出授权码一共有4种方式： 1 授权码模式（最常用） 2 简化模式 3 密码模式 4 客户端模式 授权码模式是最常用的一个模式： ...
OAuth2.0-授权码模式
超频化石鱼的博客
01-29 1574
OAuth2.0授权码模式主要解决了信任问题：一个第三方网站需要访问我们Github上的数据（例如用户头像），那Github为什么要信任该网站？该对网站信任到什么程度？基于此，如果可以为该网站提供一个专门的，该有专门的权限和过期时间，且Github可随时清除的授权，这样问题就可以解决了。
python--积累--带有用户认证Authorization的post请求
直到世界的尽头
05-29 6250
class.py 如下： import ssl ssl._create_default_https_context = ssl._create_unverified_context import json import urllib import urllib.request import base64 from api_module.logger import logger class ProductRequestFactory: def __init__(self, config):
python web api authorization_Web APi之认证（Authentication）两种实现方式【二】（十三）...
weixin_39763953的博客
12-21 336
前言上一节我们详细讲解了认证及其基本信息，这一节我们通过两种不同方式来实现认证，并且分析如何合理的利用这两种方式，文中涉及到的基础知识，请参看上一篇文中，就不再叙述废话。序言对于所谓的认证说到底就是安全问题，在Web API中有多种方式来实现安全，【accepted】方式来处理基于IIS的安全(通过上节提到的WindowsIdentity依赖于HttpContext和IIS认证)或者在Web AP...
获取authorization_python获取知乎问题答案并转换为MarkDown文件
weixin_39630880的博客
11-29 401
前期准备python2.7html2textmarkdownpad(这里随意，只要可以支持md就行)会抓包最重要的是你要有代理，因为知乎开始封IP了原理原理说起来很简单：获取请求到的内容的BODY部分，然后重新构建一个HTML文件，接着利用html2text这个模块将其转换为markdown文件，最后对图片及标题按照markdown的格式做一些处理就好了。目前应用的场景主要是在知乎。代码实现获取知...
python之app逆向破解headers中的Authorization 身份验证 AES
12-03 1054
下载好app 贝壳 2018-5-2 版本 1.还是先抓包 注册入口 2.用jadx-gui打开 直接用jadx-gui打开,因为没有加壳 并搜索关键字Authorization 点击右键 查找用例 3.开始Hook 从以下可以看出: 由 Appid + COLON_SEPARATOR + c 组成的,最后 Base64 所以从第一个入参开始跟踪 String encodeToString = ...
github第三方登录超详细流程及分析(小白笔记)
qq_43516238的博客
05-01 4781
github第三方登录 本质就是OAuth授权 分析 应用开发方先在第三方的开放认证平台申请app的授权，得到id和key 应用前端账号密码登录区域，提供入口让用户跳到第三方的授权登录页 跳转链接：https://github.com/login/oauth/authorize 要传什么参数？client_id和回调地址 授权页面，用户进行确认（如果没有登录，需要登录） gith...
什么是Oauth2.0，Oauth2.0的四种授权模式
wxina
06-01 1833
Oauth2.0本身： Oauth2.0是一种授权协议，当然也归属为安全协议的范畴，在实际执行的时候就是保护互联网中不断增长的大量WEB API的安全访问。OAuth2.0共包含四种角色，分别是资源所有者、第三方应用（也称为客户端client）、授权服务器和资源服务器。如下图所示，某公司A开发了一个微信小程序（第三方应用）可以帮助我（资源所有者）美化微信服务器（资源服务器）上面的头像，我在用这个微信小程序开发的美化头像功能的时候，首先要给微信小程序授权（授权服务器），这个微信小程序才能访问我的头像，实际上访
基于SpringSecurity OAuth2实现单点登录——集成Github实现第三方账户登录
向心行者
09-25 2280
1、前言   在《SpringSecurity系列 之 集成第三方登录》中，我们基于SpringSecurity实现了集成的用户名密码、短信验证码和Github三种登录方式，其中，基于Github实现的登录，其实已经在SpringSecurity Oauth2中提供了一套实现流程，而且可以通过简单的配置就完成，我们下面尝试使用基于Oauth2的方式来实现Github的登录。 2、Github账户配置   在使用Github实现登录的时候，首先需要在Github账户进行OAuth配置，和《SpringSecu
oauth2-authorization-server是什么
最新发布
07-28
回答: oauth2-authorization-server是一个基于Spring Security的OAuth2授权服务器。它是一个框架，用于处理OAuth2的认证和授权流程。在该框架中，org.springframework.security.oauth2.server.authorization.web....

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值