oauth2.0--基础--01--理论

已于 2022-12-03 09:42:46 修改
阅读量529 收藏 2
点赞数 1
分类专栏： OAuth2 文章标签： OAuth2.0 授权码模式 访问令牌 安全 第三方应用
于 2020-10-24 14:38:07 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/zhou920786312/article/details/109259216
版权

oauth2.0–基础–01–理论

1、快递员问题

在这里插入图片描述
在这里插入图片描述

在这里插入图片描述

1.1、问题描述

我经常点外卖，每天都有外卖员来送餐。我必须找到一个办法，让快递员通过门禁系统，进入小区。
如果我把自己的密码，告诉快递员，他就拥有了与我同样的权限，就可以自由的出入小区，这对小区的安全造成影响。
你可以会想，每次收到外卖就改一次密码，这样就可以让外卖员拥有进入小区的权力，但是这很麻烦，因为第一，我要自己去修改密码，第二，我还得把最新的密码通知我的家人和朋友。那么有没有办法，既可以让外卖人员自由进入小区，而又不必修改密码呢。比如说一个临时凭证

1.2、需求描述

  1. 每次外卖人员来送餐，我希望给外卖人员一个凭证，而非密码。
  2. 凭证需要有个过期时间，防止外卖人员一直持有这个凭证。
  3. 凭证只能到A栋楼2层201房间门口，不能去其他楼，同时也不能去A栋楼的其他楼层。

1.3、设计凭证

  1. 门禁系统的密码输入器下面，增加一个按钮，叫做"获取授权"。快递员去申请授权。

  2. 申请前，我和快递员做了一个约定，每次申请的时候，需要把快递员工号发给我，同时我这里记录下这个工号。

  3. 他按下按钮以后，屋主(也就是我)的手机就会跳出对话框，有人正在要求授权。系统还会显示该快递员的姓名、工号和所属的快递公司。我拿出我记录的工号和系统的工号对比，只有相等，我才认为这个快递员是我授权的。

  4. 我确认请求属实，就点击按钮，告诉门禁系统，我同意给予他进入小区的授权。

  5. 门禁系统得到我的确认以后，向快递员显示一个进入小区的令牌(access token)。只在短期内(比如七天)有效。且只能去我所在的那层楼。

  6. 快递员向门禁系统输入令牌，进入小区。

2、oauth2.0是为了解决什么样的问题

2.1、场景

我们经常遇到这种情况，假设有个网址W1，可以将用户储存在W2的照片，冲印出来，用户U1使用该功能，必须让W1读取自己储存在W2上的照片，这个时候应该怎么办呢？

2.2、传统的做法：

将W2的账号密码告诉W1，但是这样做有以下缺陷

1. W1可能保存W2的账号密码，不安全
2. W1拥有了获取用户储存在W2所有资料的权力，用户没法限制W1获得授权的范围和有效期。
3. 用户只有修改密码，才能收回赋予W1的权力。但是这样做，会使得其他所有获得用户授权的第三方应用程序全部失效。
4. 只要有一个第三方应用程序被破解，就会导致用户密码泄漏，以及所有被密码保护的其他第三方数据泄漏。

2.3、现在的做法

使用oauth2.0 来解决上面的问题。

3、专用名词

3.1、授权过程名词

  1. client：第三方应用程序或者客户端，即W1
  2. HTTP service： 服务提供商，即W2
  3. Resource Owner：资源所有者，即U1
  4. User Agent：用户代理，本文中就是指浏览器。
  5. Authorization server：认证服务器
    1. 服务提供商处理认证的服务器。
  6. Resource server：资源服务器
    1. 服务提供商存放资源的服务器
    2. 一般它与认证服务器分开
  7. clinet Identifier：客户端标识符，即W1向W2申请的clinet Id
  8. redicrection ulr：重定向的url
  9. user authenticates：用戶 确定 授权
  10. authorization code：授权码
  11. access token：访问令牌
  12. optional refresh token：可选的刷新令牌

3.2、授权认证参数说明

  1. code：授权码
    1. 授权码。
    2. 有效期应该很短，通常设为10分钟，客户端只能使用该码一次，否则会被授权服务器拒绝。
    3. code与客户端ID和重定向URI，是一一对应关系。
  2. state：户端的当前状态
    1. 如果客户端的请求中包含这个参数，认证服务器的回应也必须包含这个参数。
  3. response_type：授权类型，具体看服务器定义
  4. client_id：客户端的ID
  5. redirect_uri：表示重定向URI
  6. scope：申请的权限范围
  7. grant_type：使用的授权模式
  8. access_token：访问令牌
  9. token_type：令牌类型，大小写不敏感，可以是bearer类型或mac类型。
  10. expires_in：过期时间，单位为秒。
  11. refresh_token：更新令牌，用来获取下一次的访问令牌。
  12. scope：表示权限范围，如果与客户端申请的范围一致，此项可省略。
  13. password：密码
  14. username：用户名
  15. granttype：授权类型，具体看服务器定义
  16. refresh_token：更新令牌

4、授权模式

  1. 授权码模式：authorization code
  2. 简化模式： implicit
  3. 密码模式： resource owner password credentials
  4. 客户端模式： client credentials

4.1、 授权码模式：authorization code

功能最完整、流程最严密的授权模式。

在这里插入图片描述

步骤如下

(A) 用户访问客户端，客户端将用户导向认证服务器。
(B) 用户选择是否给予客户端授权。
(C) 假设用户给予授权，认证服务器将用户导向客户端事先指定的"重定向URI"(redirection URI)，同时附上一个授权码。
(D) 客户端收到授权码，附上早先的"重定向URI"，向认证服务器申请令牌。在客户端的后台的服务器上完成的，对用户不可见。
(E) 认证服务器核对了授权码和重定向URI，确认无误后，向客户端发送访问令牌(access token)和更新令牌(refresh token)。

A步骤中，客户端申请认证的URI，包含以下参数

GET /authorize?
	response_type=code&
	client_id=1111&
	state=2222&
	redirect_uri=https://www.baidu.com
  1. response_type=code：授权类型，这里表示授权码模式
  2. client_id：客户端id为1111
  3. 客户端状态：2222
  4. redirect_uri：重定向地址为https://www.baidu.com

C步骤中，服务器回应客户端的URI，包含以下参数：

https://www.baidu.com?code=xxxxx&state=2222
  1. code：授权码
  2. https://www.baidu.com：重定向地址

D步骤中，客户端向认证服务器申请令牌的HTTP请求，包含以下参数：

...?grant_type=authorization_code&
	code=xxxxx&
	redirect_uri=https://www.baidu.com&
	clientId=1111
  1. grant_type：表示使用的授权模式

E步骤中，认证服务器发送的HTTP回复，包含以下参数：

{
   "access_token":"2YotnFZFEjr1zCsicMWpAA",
   "token_type":"example",
   "expires_in":3600,
   "refresh_token":"tGzv3JOkF0XG5Qx2TlKWIA",
   "example_parameter":"example_value"
 }
  1. access_token：访问令牌
  2. token_type：令牌类型，大小写不敏感，可以是bearer类型或mac类型。
  3. expires_in：过期时间，单位为秒。
  4. refresh_token：更新令牌，用来获取下一次的访问令牌。
  5. scope：表示权限范围，如果与客户端申请的范围一致，此项可省略。

4.2、简化模式

  1. 不通过第三方应用程序的服务器，直接在浏览器中向认证服务器申请令牌，跳过了"授权码"这个步骤。
  2. 所有步骤在浏览器中完成，令牌对访问者是可见的
  3. 客户端不需要认证。

在这里插入图片描述

步骤如下

(A)	客户端将用户导向认证服务器。
(B)	用户决定是否给于客户端授权。
(C)	假设用户给予授权，认证服务器将用户导向客户端指定的"重定向URI"，并在URI的Hash部分包含了访问令牌。
(D)	浏览器向资源服务器发出请求，其中不包括上一步收到的Hash值。
(E)	资源服务器返回一个网页，其中包含的代码可以获取Hash值中的令牌。
(F)	浏览器执行上一步获得的脚本，提取出令牌。
(G)	浏览器将令牌发给客户端。

A步骤中，客户端发出的HTTP请求，包含以下参数：

GET /authorize?
	response_type=token&
	client_id=1111&
	state=2222&
    redirect_uri=https://www.baidu.com

C步骤中，认证服务器回应客户端的URI，包含以下参数：

....#access_token=2YotnFZFEjr1zCsicMWpAA&
 state=2222&
 token_type=example&
 expires_in=3600
  1. 参数前面是#

4.3、密码模式

  1. 用户向客户端提供自己的用户名和密码。客户端使用这些信息，向"服务商提供商"索要授权。
  2. 通常用在用户对客户端高度信任的情况下，才能考虑使用这种模式。
  3. 使用场景：微服务集群中单点登陆问题

在这里插入图片描述

步骤如下


(A)	用户向客户端提供用户名和密码。
(B)	客户端将用户名和密码发给认证服务器，向后者请求令牌。
(C)	认证服务器确认无误后，向客户端提供访问令牌。

B步骤中，客户端发出的HTTP请求，包含以下参数

POST /grant_type=password&
 	username=1&
 	password=2
  1. grant_type：授权类型，此处的值固定为"password"，必选项。
  2. username：用户名，必选项。
  3. password：用户的密码，必选项。
  4. scope：权限范围，可选项。

C步骤中，认证服务器向客户端发送访问令牌，下面是一个例子。


 {
   "access_token":"2YotnFZFEjr1zCsicMWpAA",
   "token_type":"example",
   "expires_in":3600,
   "refresh_token":"tGzv3JOkF0XG5Qx2TlKWIA",
   "example_parameter":"example_value"
 }

4.4、客户端模式

  1. 以客户端的名义，向"服务提供商"进行认证。
  2. 严格地说，客户端模式并不属于OAuth框架所要解决的问题。
  3. 用户直接向客户端注册，客户端以自己的名义要求"服务提供商"提供服务，其实不存在授权问题。

在这里插入图片描述

步骤如下


(A)	客户端向认证服务器进行身份认证，并要求一个访问令牌。
(B)	认证服务器确认无误后，向客户端提供访问令

A步骤中，客户端发出的HTTP请求，包含以下参数：


....?grant_type=client_credentials
  1. granttype：授权类型，此处的值固定为"clientcredentials"，必选项。
  2. scope：权限范围，可选项。

B步骤中，认证服务器向客户端发送访问令牌，下面是一个例子。

 {
   "access_token":"2YotnFZFEjr1zCsicMWpAA",
   "token_type":"example",
   "expires_in":3600,
   "example_parameter":"example_value"
 }

5、更新令牌

  1. 如果用户访问的时候，客户端的"访问令牌"已经过期，可以使用"更新令牌"申请一个新的访问令牌。

客户端发出更新令牌的HTTP请求，包含以下参数

...?grant_type=refresh_token&
refresh_token=tGzv3JOkF0XG5Qx2TlKWIA
  1. granttype：授权类型，此处的值固定为"clientcredentials"，必选项。
  2. scope：权限范围，可选项。
  3. refresh_token：更新令牌，必选项。
勤径苦舟
关注
专栏目录
oauth2 clientid作用_Oauth 2.0 授权机制
weixin_39785400的博客
11-26 4046
在了解 Oauth 2.0 之前，我们先看一下令牌和密码到底有什么关系，其实令牌（token）与密码（password）的作用是一样的，都可以进入系统，但是有三点差异：令牌是短期的，到期会自动失效，且用户自己无法修改；密码一般长期有效，用户不修改，就不会发生变化。令牌可以被数据的所有者撤销，会立即失效。令牌有权限范围（scope）对于网络服务来说，只读令牌就比读写令牌更安全。密码一般是完整权限。上...
Spring Security OAuth2.0认证授权 --- 高级篇
shuai_h的博客
06-19 1550
六、OAuth2.0 6.1、OAuth2.0介绍 OAuth（开放授权）是一个开放标准，允许用户授权第三方应用访问他们存储在另外的服务提供者上的信息，而不需要将用户名和密码提供给第三方应用或分享他们数据的所有内容。OAuth2.0是OAuth协议的延续版本，但不向后兼容OAuth 1.0即完全废止了OAuth1.0。很多大公司如Google，Yahoo，Microsoft等都提供了OAUTH认证服务，这些都足以说明OAUTH标准逐渐成为开放资源授权的标准。 Oauth协议目前发展到2.0版本，1.0版本过
OAuth2.0协议入门（二）：OAuth2.0授权服务端从设计到实现
王仁一的博客
03-27 1045
一OAuth2.0授权服务端的设计 在上一篇文章中，我介绍了OAuth2.0协议的基本概念以及作为一个第三方应用在请求授权服务端的时候需要做哪些事情。通过上一篇文章中调用百度OAuth服务的例子我们可以得知，使用授权码模式完成OAuth2.0授权的过程需要以下三个步骤： client请求授权服务端，获取Authorization Code； client通过Authorization Co...
使用oauth2实现第三方登录
最新发布
gs2516230558的博客
08-15 697
使用oauth2实现第三方登录，比如QQ、微信、GitHub等等
一口气说出 OAuth2.0 的四种授权方式
架构师小秘圈
07-13 540
上周我的自研开源项目开始破土动工了，《开源项目迈出第一步，10 选 1？页面模板成了第一个绊脚石 》 ，密谋很久才付诸行动，做这个的初衷就是不想让自己太安稳，技术这条路不进步就等于后退，...
【Oauth2请求不带client_id，获取方法】
ShayneLee8的博客
06-12 1146
这段时间在学习 oauth2, 发现我组用的框架，登录请求参数中并没有 client_id ，但是后台逻辑确实关联到了 client 信息。
Spring Security OAuth2 JWT公私钥认证登录后获取登录名为client_id解决方案
qq_21480329的博客
03-25 2470
spring security oauth2 + jwt认证实现，认证通过返回access_token，用户相关信息可以通过access_token的解析获取。但是SecurityContextHolder.getContext().getAuthentication().getName()获取到的username是client_id。 ​ 在不使用jwt的情况下，正常登录认证后，通过SecurityContextHolder.getContext().getAuthentication().getNam
141-OAuth 2.0实战课.zip
11-15
OAuth 2.0 是一种广泛使用的授权框架，用于在用户许可的情况下，...通过这个实战课程，开发者可以掌握OAuth 2.0的理论知识，理解其实现原理，并具备在实际项目中应用OAuth 2.0的能力，提升Web应用的安全性和用户体验。
Php oauth2.0 原理,OAuth 2.0 协议原理与实现：TOKEN 生成算法
weixin_40003451的博客
03-19 525
OAuth2.0协议定义了授权详细流程，并最终以token的形式作为用户授权的凭证下发给客户端，客户端后续可以带着token去请求资源服务器，获取token权限范围内的用户资源。对于token的描述，OAuth2.0协议只是一笔带过的说它是一个字符串，用于表示特定的权限、生命周期等，但是却没有明确阐述token的生成策略，以及如何去验证一个token。RFC6749对于access token的描...
Spring Security OAuth2.0认证授权知识概括
weixin_41005188的博客
03-31 3528
Spring Security OAuth2.0认证授权知识概括安全框架基本概念基于Session的认证方式Spring SecuritySpringSecurity应用详解 安全框架基本概念 什么是认证： 进入移动互联网时代，大家每天都在刷手机，常用的软件有微信、支付宝、头条等，下边拿微信来举例子说明认证相关的基本概念，在初次使用微信前需要注册成为微信用户，然后输入账号和密码即可登录微信，输入账号和密码 登录微信的过程就是认证。 系统为什么要认证？ ①认证是为了保护系统的隐私数据与资源，用户的身份合法方
OAuth2.0系列文章 - 为什么我们需要引入OAuth2.0
liruonian的博客
09-19 59
我之前参与过一个OpenAPI第三方应用想要来调用我们系统的接口，以获取我们的内部数据。OpenAPI谁能调用我们系统的接口？他有权限调用哪些接口？在技术选型的阶段，我们阅读了一些国内做OpenAPI的厂商的公开资料，很自然的就找到了OAuth2.0很多关于OAuth2.0的博客都偏理论，而且内容高度雷同，了解概念有余，但想依靠这些信息来搭建一套安全的OpenAPI平台还是有所不足。为此，我们团队又花了很多时间去阅读OAuth2.0也是在做OpenAPI项目的期间，对OAuth2.0。
oauth2中根据username和clientId获取token信息
lingxiaoNo1的博客
04-10 5910
oauth2中根据username和clientId获取token信息 TokenStore一定要使用RedisTokenStore，不然使用不了这个方法 oauth2教程：https://www.cnkirito.moe/Spring-Security-OAuth2-1/ @Resource private RedisConnectionFactory redisConnectionFact...
OAuth2.0客户端和服务端Java实现
qq_41124175的博客
04-08 2772
本部分将开发过程中遇到的难点记录下来，具体源码参考此repo 👍。
（十）使用oauth2
axe的专栏
04-26 1541
如果第三方应用和本开放平台对接时需要获取用户隐私数据（如商品、订单），为为了安全与隐私，第三方应用需要取得用户的授权，即获取访问用户数据的授权令牌 AccessToken 。这种情况下，第三方应用需要引导用户完成帐号“登录授权”的流程。 easyopen从1.2.0版本开始支持oauth2认证。接入方式很简单： 新建一个Oauth2ManagerImpl类，实现Oauth2Manager接口...
前端访问OAuth2授权服务器
mengxin_chen的博客
04-28 1228
前端必须要提交： username: “” 用户账号 password: “” 用户密码 grant_type: ‘password’ （一般固定是password） client_id: ‘appid’ （这些值都是后端写死的） client_secret: ‘223344’（这些值都是后端写死的） <template> <!-- 这里定义vue组件的模板内容 --> <div> <h2>登录首页</h2> <p>u
oauth2---密码模式和授权码模式架构分析
beiduofen2011的专栏
03-21 1347
11111
Oauth2实现认证授权，单点登录案例
weixin_38650898的博客
05-01 794
文章目录 博客地址 https://blog.csdn.net/bluuusea/article/details/80284458
基于OAuth2.0协议的第三方登录授权流程
lamperouge_conan的博客
12-30 691
基于OAuth2.0协议的第三方登录授权流程授权流程特殊参数 OAuth is short for Open Authorization 授权流程 1.用户访问网站 2.网站请求第三方OAuth登录页： 网站请求第三方登录页面时使用带有特定参数的url例如： https://graph.qq.com/oauth/? &client_id=xxxxx &redirect_uri=http://www.xxxx.com/… client_id是在第三方网站登记后的一个client_id用来
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值