什么是多点登陆?什么是单点登录
大家有没有发现半年以前,登陆http://price.rccchina.com 后再进http://in.rccchina.com/ 是免登陆的?
Oauth 为何物?
OAuth 简单理解就是一种授权机制,它是在客户端和资源所有者之间的授权层,用来分离两种不同的角色。在资源所有者同意并向客户端颁发令牌后,客户端携带令牌可以访问资源所有者的资源。
举个小栗子解释一下什么是 OAuth 授权?
周末在家点了一个外卖,外卖小哥30秒火速到达了我家楼下,奈何有门禁进不来,可以输入密码进入,但出于安全的考虑我并不想告诉他密码。
此时外卖小哥看到门禁有一个高级按钮“一键获取授权”,只要我这边同意,他会获取到一个有效期 2小时的令牌(token)正常出入
Oauth2.0 的使用及认证方式
第三方登录是应用开发中的常用功能,通过第三方登录,我们可以更加容易的吸引用户来到我们的应用中。现在,很多网站都提供了第三方登录的功能,第三方网站的登录API或SDK千奇百怪,对于一个新手来说无疑是很不友好的,但是一些比较大的网站他们的接入方式其实都遵循一个协议 那就是Oauth2.0(目前1.0 已经遗弃),就像HTTP 协议一样,大家都用这个协议,对于开发者而言只要懂得其的设计原理,调用方法,不管接入什么第三方应用上手其实很快的。
OAuth 2.0术语
- 资源拥有者(resource owner): app用户
- 拥有app想要的数据(用户名,头像等)客户(client):app
- 授权服务器(Authorization server):授权的系统
- 资源服务器(Resource server):拥有用户数据的系统
- 授权许可(Authorization grant):用户对于数据授权的证明
- Redirect Uri(重定向Uri):当用户允许之后,重定向到的地方
- 访问令牌(access token):从资源服务器获取数据的令牌
- 访问(Scope):决定app可以对用户进行的操作的等级
OAuth2.0 授权方式
OAuth2.0 的授权简单理解其实就是获取令牌(token)的过程,OAuth 协议定义了四种获得令牌的授权方式(authorization grant )如下:授权码(authorization-code)、隐藏式(implicit)、密码式(password)、客户端凭证(client credentials),但值得注意的是,不管我们使用哪一种授权方式,在三方应用申请令牌之前,都必须在系统中去申请身份唯一标识:客户端 ID(client ID)和 客户端密钥(client secret)。这样做可以保证 token 不被恶意使用。
授权码(authorization code)方式
指的是第三方应用先申请一个授权码,然后再用该码获取令牌
这种方式是最常用的流程,安全性也最高,它适用于那些有后端的 Web 应用。授权码通过前端传送,令牌则是储存在后端,而且所有与资源服务器的通信都在后端完成。这样的前后端分离,可以避免令牌泄漏。
第一步,A 网站提供一个链接,用户点击后就会跳转到 B 网站,授权用户数据给 A 网站使用。下面就是 A 网站跳转 B 网站的一个示意链接。
https://b.com/oauth/authorize?response_type=code&client_id=CLIENT_ID&redirect_uri=CALLBACK_URL&scope=read
上面 URL 中,response_type参数表示要求返回授权码(code),client_id参数让 B 知道是谁在请求,redirect_uri参数是 B 接受或拒绝请求后的跳转网址,scope参数表示要求
的授权范围(这里是只读)。
第二步,用户跳转后,B 网站会要求用户登录,然后询问是否同意给予 A 网站授权。用户表示同意,这时 B 网站就会跳回redirect_uri参数指定的网址。跳转时,会传回一个授权码,就像下面这样。
https://a.com/callback?code=AUTHORIZATION_CODE
上面 URL 中,code参数就是授权码。
第三步,A 网站拿到授权码以后,就可以在后端,向 B 网站请求令牌。
https://b.com/oauth/token?client_id=CLIENT_ID&client_secret=CLIENT_SECRET&grant_type=authorization_code&code=AUTHORIZATION_CODE&redirect_uri=CALLBACK_URL
上面 URL 中,client_id参数和client_secret参数用来让 B 确认 A 的身份(client_secret参数是保密的,因此只能在后端发请求),grant_type参数的值是AUTHORIZATION_CODE,表示采用的授权方式是授权码,code参数是上一步拿到的授权码,redirect_uri参数是令牌颁发后的回调网址。
第四步,B 网站收到请求以后,就会颁发令牌。具体做法是向redirect_uri指定的网址,发送一段 JSON 数据
{
"access_token":"ACCESS_TOKEN",# 这个就是令牌
"token_type":"bearer",
"expires_in":2592000,
"refresh_token":"REFRESH_TOKEN",
"scope":"read",
"uid":100101,
"info":{...}
}
隐藏式(implicit)
允许直接向前端颁发令牌。这种方式没有授权码这个中间步骤,所以称为(授权码)
https://b.com/oauth/authorize?response_type=token&client_id=CLIENT_ID&redirect_uri=CALLBACK_URL&scope=read
上面 URL 中,response_type参数为token,表示要求直接返回令牌。
第二步,用户跳转到 B 网站,登录后同意给予 A 网站授权。这时,B 网站就会跳回redirect_uri参数指定的跳转网址,并且把令牌作为 URL 参数,传给 A 网站。
https://a.com/callback#token=ACCESS_TOKEN
这种方式把令牌直接传给前端,是很不安全的。因此,只能用于一些安全要求不高的场景,并且令牌的有效期必须非常短,通常就是会话期间(session)有效,浏览器关掉,令牌就失效了。
密码式(password)
如果你高度信任某个应用,允许用户把用户名和密码,直接告诉该应用。该应用就使用你的密码,申请令牌
第一步,A 网站要求用户提供 B 网站的用户名和密码。拿到以后,A 就直接向 B 请求令牌。
https://oauth.b.com/token?grant_type=password&username=USERNAME&password=PASSWORD&client_id=CLIENT_ID
第二步,B 网站验证身份通过后,直接给出令牌。注意,这时不需要跳转,而是把令牌放在 JSON 数据里面,作为 HTTP 回应,A 因此拿到令牌。
这种方式需要用户给出自己的用户名/密码,显然风险很大,因此只适用于其他授权方式都无法采用的情况,而且必须是用户高度信任的应用。
凭证式(client credentials)
适用于没有前端的命令行应用,即在命令行下请求令牌。
https://oauth.b.com/token?grant_type=client_credentials&client_id=CLIENT_ID&client_secret=CLIENT_SECRET
第一步,A 应用在命令行向 B 发出请求。
第二步,B 网站验证通过以后,直接返回令牌。
如何快速写接入一个第三方服务?
这里以接入github 为例,授权方式为授权码(为什么选github 因为其他的需要申请呀~~~)
前期准备工作
client_id: 注册后可查看
client_secret: 注册后可查看
home_page_url:想接入应用的 主页
authorization_callback_url: 授权后回调地址
注册链接可以通过这个链接查看
https://github.com/settings/applications/new
这里我的回调地址就是百度
准备接入链接
<!DOCTYPE html>
<html lang="en">
<head>
<meta charset="UTF-8">
<meta name="viewport" content="width=device-width, initial-scale=1.0">
<title>Document</title>
</head>
<body>
<a href="https://github.com/login/oauth/authorize?client_id=c074eda37d77d9b28d95&redirect_uri=http://www.baidu.com">登录到github</a>
</body>
</html>
获取授权
获取授权码code
获取token
用token 获取github 的一些数据
思考:
1.在授权码模式为什么不把token 直接返回给前端?需要先返回code 再用code 换取token?
2. 为什么授权一次后,再次点击,如果授权的账号已经登陆,是不会弹出授权界面?
3.token 该怎么存?该怎么生成?(如果所有的服务都完全可信)
https://docs.github.com/en/developers/apps/building-oauth-apps/authorizing-oauth-apps