OAuth 2.0（一）：掀开 OAuth 2.0 授权初貌

大家好，我是 橘长，此前在工作中落地实现了“微信授权、支付宝授权、企业微信授权、中国农业银行开放平台授权”等代码且在生产投入使用，接下来带来一系列对「 OAuth 2.0 授权协议的解读」。

首先带来第一篇「 掀开 OAuth 2.0 授权初貌」。

一、业务背景

周一的时候，PM 走过来和橘长说”我们打算接入微信授权，让我们应用的登录体系对用户多一项登录选择“。

随着公司的发展壮大，业务的不断扩展和强大，很多公司都出现了对外 Api 以方便其他合作伙伴进行技术上的相关对接，诸如：微信生态、支付宝生态、滴滴生态等，都出现了一个新型名词「 开放平台」。

开放平台的作用其实就是企业把自己的业务能力主要以开放 Api 的形式赋能给外部开发者。

二、两个落地故事

1、银行拜访客户

某一天我们去银行拜访客户，到了银行发现进不去，有闸机阻挡，然后去前台找小姐姐说明情况。

小姐姐说：麻烦您出示一下身份证

访客：好的，给了身份证

小姐姐：系统中查询到您预约了xxx，然后有可能让你拍个照或者手写等级一下，接下来给了一个临时二维码

访客：根据这个临时二维码通过了闸机，见到了客户。

在这其中就存在授权操作，访问出示各种证明，小姐姐颁发临时访问二维码，访问通过这个临时二维码通过了闸机。

2、真实场景授权

橘长在 农行掌银 app 上参与了一个营销活动，点击活动 banner 进入活动，此时系统引导用户跳转到了登录页面。

说明，授权的前提必须是先登录。

然后用户输入账密等信息登录成功之后，出现一个授权页向用户说明系统想要获取您的哪些数据。

三、OAuth 2.0 授权初貌

1、OAuth 2.0 是什么

OAuth = Open + Auth

说明 OAuth 协议是适用在开放环境下做相关授权用的

第一个要记住的点就是“OAuth 2.0 是一种授权协议/安全协议/委托协议，不是身份认证协议”

它的本质就是让授权接入方和授权服务之间安全通信。

2、OAuth 2.0 四个角色

从刚刚那个故事中我们能推导出几个关键角色：客户、访客、前台、闸机

访客就相当于 OAuth 体系中的资源拥有者，比方说我们是一个打印软件，想到帮助用户打印他在京东的订单数据，自然而言需要得到他的授权，因为在京东的数据我们只能拿到他授权后的。

客户其实就可以等同于受保护资源，比方京东，它拥有很多人的订单数据。

闸机相当于客户端，访客首先遇到的第一层就是闸机，其实回到真实业务场景就是第三方软件，也就是打印软件。

前台相当于授权服务，她需要根据访客等出示的相关证明，给它颁发一个临时凭证，然后访客再通过临时凭证去访问后面的业务接口。

四、总结

今天我们用一个故事掀开了 OAuth 2.0 的大门，只需要记住两个点：

1、OAuth 2.0 是一种授权协议/安全协议/委托协议，它是用在开放环境下做授权用的

2、OAuth 2.0 有四个关键角色：资源拥有者、第三方软件、授权服务、受保护资源

下一篇橘长将给大家带来「 OAuth 2.0 中的四种许可类型」的解读，感谢你的关注，可在个人首页找到我，如果你觉得有所收益，欢迎点赞、转发、评论，感谢认可！