Oauth2.0

什么是Oauth2.0?

OAuth 2.0 是目前最流行的授权机制，用来授权第三方应用，获取用户数据。简单说：OAuth 就是一种授权机制。数据的所有者告诉系统，同意授权第三方应用进入系统，获取这些数据。系统从而产生一个短期的进入令牌（token），用来代替密码，供第三方应用使用。

令牌与密码

令牌（token）与密码（password）的作用是一样的，都可以进入系统，但是有三点差异。 - （1）令牌是短期的，到期会自动失效，用户自己无法修改。密码一般长期有效，用户不修改，就不会发生变化。

（2）令牌可以被数据所有者撤销，会立即失效。以上例而言，屋主可以随时取消快递员的令牌。密码一般不允许被他人撤销。
（3）令牌有权限范围（scope），比如只能进小区的二号门。对于网络服务来说，只读令牌就比读写令牌更安全。密码一般是完整权限。

上面这些设计，保证了令牌既可以让第三方应用获得权限，同时又随时可控，不会危及系统安全。这就是 OAuth 2.0 的优点。

OAuth 2.0 对于如何颁发令牌？四种授权类型（authorization grant）

授权码（authorization code）方式

授权码方式指的是：第三方应用先申请一个授权码，然后再用该码获取令牌。这种方式是最常用的流程，安全性也最高，它适用于那些有后端的 Web 应用。授权码通过前端传送，令牌则是储存在后端，而且所有与资源服务器的通信都在后端完成。这样的前后端分离，可以避免令牌泄漏。 OAuth2授权码方式流程图 - 第一步:A网站生成授权链接，用户点击后跳转到B网站，授权用户数据给A网站使用。

https://b.com/oauth/authorize?
  response_type=code&
  client_id=CLIENT_ID&
  redirect_uri=CALLBACK_URL&
  scope=read

主要参数：
- response_type参数表示要求返回授权码（code）
- client_id参数让 B 知道是谁在请求
- redirect_uri参数是 B 接受或拒绝请求后的跳转网址
- scope参数表示要求的授权范围（这里是只读）
第二步：跳转到B网站后，需要用户确认授权，用户确认后跳转到第一步的redirect_url，并返回一个授权码。
```
https://a.com/callback?code=AUTHORIZATION_CODE
```

第三步：A网站拿到授权码后，后台请求B网站，获取令牌。

https://b.com/oauth/token?
client_id=CLIENT_ID&
client_secret=CLIENT_SECRET&
grant_type=authorization_code&
code=AUTHORIZATION_CODE&
redirect_uri=CALLBACK_URL

主要参数
- client_id参数和client_secret参数用来让 B 确认 A 的身份（client_secret参数是保密的，因此只能在后端发请求）。
- grant_type参数的值是AUTHORIZATION_CODE，表示采用的授权方式是授权码。
- code参数是上一步拿到的授权码。
- redirect_uri参数是令牌颁发后的回调网址。
第四步：B 网站收到请求以后，就会颁发令牌。具体为向第三步的redirect_url发送一段令牌json。
```
{    
"access_token":"ACCESS_TOKEN",
"token_type":"bearer",
"expires_in":2592000,
"refresh_token":"REFRESH_TOKEN",
"scope":"read",
"uid":100101,
"info":{...}
}
```
access_token就是令牌，refresh_token为刷新令牌。

隐藏式（implicit）

有些 Web 应用是纯前端应用，没有后端。这种方式没有授权码这个中间步骤，所以称为（授权码）”隐藏式”（implicit）。 - 第一步:A 网站提供一个链接，要求用户跳转到 B 网站，授权用户数据给 A 网站使用。

https://b.com/oauth/authorize?
  response_type=token&
  client_id=CLIENT_ID&
  redirect_uri=CALLBACK_URL&
  scope=read

重要参数：
- response_type参数为token，表示要求直接返回令牌。
第二步:用户跳转到 B 网站确认授权。这时，B 网站就会回调redirect_uri，并且把令牌作为 URL 参数，传给 A 网站。
```
https://a.com/callback#token=ACCESS_TOKEN
```
这种方式把令牌直接传给前端，是很不安全的。因此，只能用于一些安全要求不高的场景，并且令牌的有效期必须非常短，通常就是会话期间（session）有效，浏览器关掉，令牌就失效了。

密码式（password）

第一步:A 网站要求用户提供 B 网站的用户名和密码。拿到以后，A 就直接向 B 请求令牌。
```
https://oauth.b.com/token?
grant_type=password&
username=USERNAME&
password=PASSWORD&
client_id=CLIENT_ID
```

凭证式（client credentials）

第一步:A 应用在命令行向 B 发出请求。

https://oauth.b.com/token?
grant_type=client_credentials&
client_id=CLIENT_ID&
client_secret=CLIENT_SECRET

主要参数：
- grant_type参数等于client_credentials表示采用凭证式
- client_id和client_secret用来让 B 确认 A 的身份。
第二步，B 网站验证通过以后，直接返回令牌。这种方式给出的令牌，是针对第三方应用的，而不是针对用户的，即有可能多个用户共享同一个令牌。

令牌使用

每个发到 API 的请求，都必须带有令牌。具体做法是在请求的头信息，加上一个Authorization字段

令牌更新

Oauth2.0允许用户自动更新令牌。 - B 网站颁发令牌的时候，一次性颁发两个令牌，一个用于获取数据，另一个用于获取新的令牌（refresh token 字段）。令牌到期前，用户使用 refresh token 发一个请求，去更新令牌。

https://b.com/oauth/token?
  grant_type=refresh_token&
  client_id=CLIENT_ID&
  client_secret=CLIENT_SECRET&
  refresh_token=REFRESH_TOKEN

主要参数：
- rant_type参数为refresh_token表示要求更新令牌。
- client_id参数和client_secret参数用于确认身份。
- refresh_token参数就是用于更新令牌的令牌。

参考：http://www.ruanyifeng.com/blog/2019/04/oauth-grant-types.html

Oauth2.0

Oauth2.0

什么是Oauth2.0?

令牌与密码

OAuth 2.0 对于如何颁发令牌？四种授权类型（authorization grant）

授权码（authorization code）方式

隐藏式（implicit）

密码式（password）

凭证式（client credentials）

令牌使用

令牌更新

See Also

最近文章

分类

标签