什么是 OAuth 2.0

OAuth 2.0 是一个行业的标准授权协议。OAuth 2.0 专注于简化客户端开发人员,同时为 Web 应用程序,桌面应用程序,手机和客厅设备提供特定的授权流程。

它的最终目的是为第三方应用颁发一个有时效性的令牌 token。使得第三方应用能够通过该令牌获取相关的资源。常见的场景就是:第三方登录。当你想要登录某个论坛,但没有账号,而这个论坛接入了如 QQ、Facebook 等登录功能,在你使用 QQ 登录的过程中就使用的 OAuth 2.0 协议。

角色

首先需要介绍的是 OAuth 2.0 协议中的一些角色,整个授权协议的流程都将围绕着这些角色:

协议流程

  上图详细的描述了这四个角色之间的步骤流程:

  (A) Client 请求 Resource Owner 的授权。授权请求可以直接向 Resource Owner 请求,也可以通过 Authorization Server 间接的进行。

  (B) Client 获得授权许可。

  (C) Client 向 Authorization Server 请求访问令牌。

  (D) Authorization Server 验证授权许可,如果有效则颁发访问令牌。

  (E) Client 通过访问令牌从 Resource Server 请求受保护资源。

  (F) Resource Server 验证访问令牌,有效则响应请求。

授权

一个客户端想要获得授权,就需要先到服务商那注册你的应用。一般需要你提供下面这些信息:

在你注册成功之后,你会从服务商那获取到你的应用相关的信息:

授权类型

  OAuth 2.0 列举了四种授权类型,分别用于不同的场景:

  下面来具体说说这四种授权。注意重定向一定要用 302。

授权码模式

  该方式需要资源服务器的参与,应用场景大概是:

隐式模式

  该方式一般用于移动客户端或网页客户端。隐式授权类似于授权码授权,但 token 被返回给用户代理再转发到客户端(APP),因此它可能会暴露给用户和用户设备上的其它客户端(APP)。此外,此流程不会对客户端(APP)的身份进行身份验证,并且依赖重定向 URI(已在服务商中注册)来实现此目的。

  基本原理:要求用户授权应用程序,然后授权服务器将访问令牌传回给用户代理,用户代理将其传递给客户端。

资源所有者密码模式

  用户将其服务凭证(用户名和密码)直接提供给客户端,该客户端使用凭据从服务获取访问令牌。如果其它方式不可行,则只应在授权服务器上启用该授权类型。此外,只有在客户端受到用户信任时才能使用它(例如,它由服务商自有,或用户的桌面操作系统)。

客户端模式

这种模式只需要提供client_id和client_secret即可获取授权。一般用于后端 API 的相关操作。

POST 请求客户端凭证流程:

字段 描述
grant_type 必须,必须设置到客户端证书中。
scope 可选,授权的作用域。

  返回值

  1. {
  2. "access_token" : "...", "token_type" : "...", "expires_in" : "...",
  3. }

  如果授权服务器验证成功,那么将直接返回令牌 token,改客户端已被授权。