OAuth2.0介绍-白红宇

OAuth2.0介绍

阅读量：6593 次

发布时间：2019-06-24

本文共 3770 字，大约阅读时间需要 12 分钟。

OAuth2.0是OAuth1.0的延续版本,但是不向后兼任,本文只讨论2.0版本.

OAuth是一个开放标准,允许用户让第三方应用访问该用户在某一网站上存储的私密的资源,而无需将用户名和密码提供给第三方应用.

其实这种场景在现在已经十分普遍,比如很多论坛,都会开放支持使用QQ登录,试想如果没有OAuth,你在遇见这些感兴趣的论坛想进行评论发帖时,要么注册一个论坛账号,要么把你的QQ账号密码直接告诉论坛,很显然前者很繁琐,后者不安全,而OAuth正是帮你解决这些问题.

OAuth引入了授权层来区分用户和第三方客户端,不同于用户直接使用个人密码凭证,客户端使用令牌来访问用户的私密资源,该令牌包含诸如:范围,有效期以及其他的访问相关属性.

OAuth定义了四种角色:

resource owner(资源所有者):一个允许访问受保护资源的实体,如果这是一个人,也叫做终端用户.

resource server(资源服务器):这台服务器承载着受保护的资源,它有能力接收并响应哪些对受保护资源发起的请求.

client(客户端):通过资源所有者和他的授权发起访问受保护资源的应用

authorization server(授权服务器):在成功验证资源所有者并获得授权后,发送令牌给客户端

OAuth协议流程:

（A）客户端请求资源所有者授权(授权请求可以直接通过资源所有者,更好的方式是使用授权服务器作为中介).

（B）若资源所有者同意授权,客户端会接收到授权许可.

（C）客户端使用上一步获得的授权许可,向授权服务器申请令牌.

（D）授权服务器对客户端的授权许可进行验证,确认无误后发放令牌.

（E）客户端使用令牌,向资源服务器申请获取资源.

（F）资源服务器对令牌进行验证,确认无误后同意向客户端开放资源.

在上述六个步骤中,第二步客户端获得授权许可是关键步骤,OAuth定义了四中授权方式:

Authorization Code(授权码模式):

授权码模式使用授权服务器作为客户端和资源所有者的中介,不直接向资源所有者请求授权,而是通过客户端引导资源所有者到授权服务器(通过用户代理:如浏览器),授权服务器会验证资源所有者,验证通过获得授权后,会重新引导资源所有者返回到客户端页面,此时,客户端就可以得到授权码.因为资源所有者仅在授权服务器进行了身份验证,所以他的凭证不会被客户端所获取.授权码模式提供了很好的安全保障,比如可以验证客户端身份,直接传输令牌到客户端而不需要经过用户代理从而被暴露给其他人的可能性.

(A) 客户端导向资源所有者的用户代理到授权服务器,在此过程中会同时传递客户端标识,请求范围,本地状态以及一个用于授权服务器回跳的URI.

response_type:表示授权类型,必选项,此处的值固定为"code"

client_id:表示客户端的ID,必选项

redirect_uri:表示重定向URI,可选项

scope:表示申请的权限范围,可选项

state:表示客户端的当前状态,可以指定任意值,认证服务器会原封不动地返回这个值.

(B) 授权服务器验证资源所有者并决定是否同意客户端的授权申请.

code:表示授权码,必选项.该码的有效期应该很短,通常设为10分钟,客户端只能使用该码一次,否则会被授权服务器拒绝.该码与客户端ID和重定向URI,是一一对应关系.

state:如果客户端的请求中包含这个参数,认证服务器的回应也必须一模一样包含这个参数.

(D) 客户端附上之前获得的授权码向授权服务器申请令牌,这个请求过程授权服务器将会验证客户端身份.

grant_type:表示使用的授权模式,必选项,此处的值固定为"authorization_code".

code:表示上一步获得的授权码,必选项.

redirect_uri:表示重定向URI,必选项,且必须与A步骤中的该参数值保持一致.

client_id:表示客户端ID,必选项.

(E) 授权服务器验证客户端身份,确认授权码,并确保收到的回跳地址和在C步骤中得一致.如果全都验证通过,授权服务器返回访问令牌和更新令牌给客户端.

access_token:表示访问令牌,必选项.

token_type:表示令牌类型,该值大小写不敏感,必选项,可以是bearer类型或mac类型.

expires_in:表示过期时间,单位为秒.如果省略该参数,必须其他方式设置过期时间.

refresh_token:表示更新令牌,用来获取下一次的访问令牌,可选项.

scope:表示权限范围,如果与客户端申请的范围一致,此项可省略.

Implicit(隐式授权模式):

隐式授权是针对基于浏览器实现的使用脚本语言的客户端的简化版授权码流程,它会直接给客户端分配访问令牌而不是授权码.服务器也不回验证客户端身份而是通过验证回跳URL来验证客户端ID,然后把令牌传递给客户端.隐式授权模式提高了响应能力和效率,因为它减少了获得令牌的请求次数.然而易用性上升的同时也会在安全性上有所下降,我们需要权衡利弊.