【DevOps-Bitbucket】Bitbucket 获取个人访问令牌（Access Token）的2种方法以及和gitlab获取个人访问令牌的区别

Bitbucket 和 GitLab 都提供了获取个人访问令牌（Access Token）的方法，但它们的实现方式有所不同。以下是 Bitbucket 和 GitLab 获取 Access Token 的方法及其区别的详细解释。

一、OAuth 2.0 和 App Passwords两种方式如何获取Access Token

Bitbucket 获取 Access Token

方法一：使用 OAuth 2.0

1. 创建 OAuth 消费者：

   • 登录到 Bitbucket。
   • 转到 Personal settings > OAuth > Add consumer。
   • 填写相关信息，特别是回调 URL。
   • 创建后，记下生成的 Key 和 Secret。

2. 获取 Access Token：

   • 使用 OAuth 2.0 客户端凭证流（Client Credentials Grant）来获取 Access Token。

   示例请求：

   curl -X POST -u "<client_id>:<client_secret>" https://bitbucket.org/site/oauth2/access_token -d grant_type=client_credentials
   

   这个请求将返回一个 JSON 对象，其中包含 access_token。

方法二：使用 App Passwords

1. 创建 App Password：

   • 登录到 Bitbucket。
   • 转到 Personal settings > App passwords > Create app password。
   • 选择需要的权限并生成 App Password。

2. 使用 App Password 进行认证：

   • 你可以使用 App Password 进行基本认证（Basic Auth）来访问 Bitbucket API。

   示例请求：

   curl -u "<username>:<app_password>" https://api.bitbucket.org/2.0/repositories/<username>
   

GitLab 获取个人访问令牌

1. 生成个人访问令牌（Personal Access Token）：

   • 登录到 GitLab。
   • 转到 User Settings > Access Tokens。
   • 填写令牌名称、过期日期，选择所需的作用域（Scopes），例如 api、read_user 等。
   • 创建令牌并记下生成的令牌。

2. 使用个人访问令牌进行认证：

   • 你可以使用个人访问令牌进行 API 访问，通常将令牌放在请求头中。

   示例请求：

   curl --header "PRIVATE-TOKEN: <access_token>" https://gitlab.example.com/api/v4/projects
   

区别

1. 认证方式：

   • Bitbucket：主要通过 OAuth 2.0 和 App Passwords 进行认证。OAuth 2.0 提供了更加细粒度的权限控制和授权方式，而 App Passwords 更加简单，适用于个人或小型应用的访问。
   • GitLab：通过生成个人访问令牌（Personal Access Tokens）进行认证，这种方式类似于 Bitbucket 的 App Passwords，适用于用户级别的访问控制。

2. 用途和适用场景：

   • Bitbucket OAuth 2.0：适用于需要用户授权的复杂应用场景，特别是需要第三方应用访问用户资源时。
   • Bitbucket App Passwords 和 GitLab Personal Access Tokens：适用于简单的 API 访问和自动化脚本，更适合个人使用或小型项目的集成。

3. 权限控制：

   • Bitbucket App Passwords：可以为每个应用密码设置具体的权限（如存储库、管道等），权限设置相对简单。
   • GitLab Personal Access Tokens：可以选择具体的作用域（Scopes），如 api、read_user、read_repository 等，提供了详细的权限控制。

示例代码比较

Bitbucket 使用 OAuth 2.0

curl -X POST -u "<client_id>:<client_secret>" https://bitbucket.org/site/oauth2/access_token -d grant_type=client_credentials

import requests
from requests.auth import HTTPBasicAuth

client_id = '<your_client_id>'
client_secret = '<your_client_secret>'

auth_url = 'https://bitbucket.org/site/oauth2/access_token'
auth_response = requests.post(auth_url, data={'grant_type': 'client_credentials'}, auth=HTTPBasicAuth(client_id, client_secret))
auth_data = auth_response.json()
access_token = auth_data['access_token']

headers = {'Authorization': f'Bearer {access_token}'}
response = requests.get('https://api.bitbucket.org/2.0/repositories/<username>', headers=headers)
print(response.json())

GitLab 使用 Personal Access Token

curl --header "PRIVATE-TOKEN: <access_token>" https://gitlab.example.com/api/v4/projects

import requests

access_token = '<your_access_token>'
headers = {'PRIVATE-TOKEN': access_token}
response = requests.get('https://gitlab.example.com/api/v4/projects', headers=headers)
print(response.json())

通过以上解释和示例，您可以根据需要选择合适的方法和工具进行 Bitbucket 和 GitLab 的 API 访问和集成。

二、OAuth 2.0 和 App Passwords两种方式优缺点

上述提到的两种方式（OAuth 2.0 和 App Passwords）都可行，具体选择哪种方式取决于你的应用场景和需求。

1. OAuth 2.0

适用场景：

• 需要对用户进行授权，访问用户资源的应用。
• 需要细粒度的权限控制。
• 第三方应用访问 Bitbucket 资源。

优点：

• 安全性更高，适用于复杂的应用场景。
• 可以对不同的用户和应用进行细粒度的权限管理。
• 支持访问令牌的自动刷新。

缺点：

• 实现相对复杂，需要处理认证和授权流程。
• 适合中大型项目和复杂的集成需求。

2. App Passwords

适用场景：

• 个人或小型应用的简单 API 访问。
• 脚本或自动化任务中使用。
• 不需要用户授权的情况。

优点：

• 实现简单，使用方便。
• 适用于快速集成和测试。
• 直接替代用户密码进行认证。

缺点：

• 安全性相对较低，不适合暴露在公共环境中。
• 不支持细粒度的权限控制。

两种方式的示例代码

1. OAuth 2.0 示例代码

以下是使用 OAuth 2.0 获取 Access Token 并调用 API 的详细示例：

import org.apache.http.client.methods.CloseableHttpResponse;
import org.apache.http.client.methods.HttpPost;
import org.apache.http.entity.StringEntity;
import org.apache.http.impl.client.CloseableHttpClient;
import org.apache.http.impl.client.HttpClients;
import org.apache.http.util.EntityUtils;
import com.fasterxml.jackson.databind.ObjectMapper;
import java.util.Map;

public class BitbucketOAuth {
    private static final String CLIENT_ID = "<your_client_id>";
    private static final String CLIENT_SECRET = "<your_client_secret>";
    private static final String TOKEN_URL = "https://bitbucket.org/site/oauth2/access_token";

    public static String getAccessToken() throws Exception {
        CloseableHttpClient client = HttpClients.createDefault();
        HttpPost post = new HttpPost(TOKEN_URL);
        String auth = CLIENT_ID + ":" + CLIENT_SECRET;
        String encodedAuth = Base64.getEncoder().encodeToString(auth.getBytes());
        post.setHeader("Authorization", "Basic " + encodedAuth);
        post.setHeader("Content-Type", "application/x-www-form-urlencoded");
        post.setEntity(new StringEntity("grant_type=client_credentials"));

        CloseableHttpResponse response = client.execute(post);
        String responseBody = EntityUtils.toString(response.getEntity());
        client.close();

        ObjectMapper mapper = new ObjectMapper();
        Map<String, Object> map = mapper.readValue(responseBody, Map.class);
        return (String) map.get("access_token");
    }

    public static void main(String[] args) throws Exception {
        String accessToken = getAccessToken();
        System.out.println("Access Token: " + accessToken);
    }
}

2. App Passwords 示例代码

以下是使用 App Passwords 进行 API 调用的详细示例：

import org.apache.http.client.methods.CloseableHttpResponse;
import org.apache.http.client.methods.HttpGet;
import org.apache.http.impl.client.CloseableHttpClient;
import org.apache.http.impl.client.HttpClients;
import org.apache.http.util.EntityUtils;

public class BitbucketAppPassword {
    private static final String BASE_URL = "https://api.bitbucket.org/2.0/";
    private static final String USERNAME = "<your_username>";
    private static final String APP_PASSWORD = "<your_app_password>";

    public static String getBranches(String username, String repoSlug) throws Exception {
        CloseableHttpClient client = HttpClients.createDefault();
        String url = BASE_URL + "repositories/" + username + "/" + repoSlug + "/refs/branches";
        HttpGet get = new HttpGet(url);
        String auth = USERNAME + ":" + APP_PASSWORD;
        String encodedAuth = Base64.getEncoder().encodeToString(auth.getBytes());
        get.setHeader("Authorization", "Basic " + encodedAuth);

        CloseableHttpResponse response = client.execute(get);
        String responseBody = EntityUtils.toString(response.getEntity());
        client.close();
        return responseBody;
    }

    public static void main(String[] args) throws Exception {
        String branches = getBranches(USERNAME, "<repo_slug>");
        System.out.println("Branches: " + branches);
    }
}

总结

• 如果你的应用需要用户授权，且需要更高的安全性和细粒度的权限控制，建议使用 OAuth 2.0。
• 如果你的应用只是个人或小型项目，需要快速集成和简单的 API 访问，可以使用 App Passwords。

两种方式各有优缺点，可以根据实际需求选择合适的认证方式。