oauth2.0小记（一）

OAUTH 2.0

一、 OAuth2.0定义的5种角色

1.客户端（Client）

客户端是 OAuth 服务的接入方，其目的是请求用户存储在资源服务器上的受保护资源，客户端可以移动应用、网页应用，以及电视应用等等。

用户代理（User Agent）

用户代理是用户参与互联网的工具，一般可以理解为浏览器。

资源所有者（Resource Owner）

受保护资源所属的实体，比如资源的持有人等，下文的用户即资源所有者。

授权服务器（Authorization Server）

授权服务器的主要职责是验证资源所有者的身份，并依据资源所有者的许可对第三方应用下发令牌。

资源服务器（Resource Server）

托管资源的服务器，能够接收和响应持有令牌的资源访问请求，可以与授权服务器是同一台服务器，也可以分开。

二、基本概念

1.访问令牌（access token）

访问令牌是在用户授权许可下，授权服务器下发给客户端的一个授权凭证，该令牌所要表达的意思是“用户授予该APP在多少时间范围内允许访问哪些与自己相关的服务”，所以访问令牌主要在 时间范围 和 权限范围 两个维度进行控制，此外访问令牌对于客户端来说是非透明的，外在表现就是一个字符串，客户端无法知晓字符串背后所隐藏的用户信息，因此不用担心用户的登录凭证会因此而泄露。

2.refresh token

刷新令牌的作用是刷新访问令牌、一般访问令牌的有效时间较短，刷新令牌的有效时间较长

3. 回调地址

用户在第三方（accesstoken发布方）登陆之后首先获取到的并不是accesstoken，而是一个授权码（code），之后第三方根据回调地址，将code以302（302 表示临时性重定向）的形式返回。
OAuth 协议强制要求客户端在注册时填写自己的回调地址，这个回调地址的目的是为了让回调请求能够到达客户端自己的服务器，从而可以走获取访问令牌的流程。第三方最好可以验证客户端传递上来的回调地址是否与之前注册的回调地址相同，或者前者是后者集合的一个元素，只有在满足这一条件下才允许下发授权码，以防止回调地址被篡改。（坏人如果在客户端请求过程中修改了对应的回调地址，并指向自己的服务器，那么坏人可以利用这种机制去拿到客户端的授权码，继而走后面的流程，最终拿到访问令牌，另外坏人可以利用该机制引导用户到一个恶意站点，继而对用户发起攻击）

4 权限范围（scope）

访问令牌自带过期时间，可以在时间维度上对授权进行控制，而在范围维度上，OAuth 引入了一个 scope 的概念。scope 可以看做是一个对象，包含一个权限的 ID，名称，以及描述信息等，比如“获取您的基本资料（头像、昵称）”。应该在接入账号服务时必须向第三方登录服务提供方申请响应的 scope，并在请求授权时指明该参数（否则表明获取该应用所允许的所有权限），这些权限在用户确认授权时，必须毫无保留的展示给用户，以让用户知道该APP需要获取用户的哪些数据或服务。