OAuth2.0--个人笔记

理解OAuth

OAuth是一个关于授权的开放网络标准,.

术语名词

1. Third-party application :第三方应用程序,又称"客户端"
2. HTTP service: HTTP服务提供商
3. Resource Owner: 资源所有者,又称"用户"
4. User Agent:用户代理,指 浏览器
5. Authorization server: 认证服务器, 即服务提供商专门处理认证的服务器
6. Resource server : 资源服务器 , 服务提供商存放用户生成资源的服务器

*OAuth就是让"客户端"安全可控地获取"用户"的授权 ,与 “服务提供商” 进行互动

OAuth实现思路

OAuth在"客户端"与"服务提供商"之间,设置一个 授权层
“客户端” 不能直接登录 “服务提供商” ,只能登录授权层, 以此将用户与客户端区分开
“客户端” 登录授权层 使用令牌,与用户密码不同,
用户可以在登录时,指定授权层令牌的权限范围和有效期

OAuth运行流程

（A）用户打开客户端以后，客户端要求用户给予授权。

（B）用户同意给予客户端授权。

（C）客户端使用上一步获得的授权，向认证服务器申请令牌。

（D）认证服务器对客户端进行认证以后，确认无误，同意发放令牌。

（E）客户端使用令牌，向资源服务器申请获取资源。

（F）资源服务器确认令牌无误，同意向客户端开放资源。

不难看出,上面步骤中B是关键,即用户怎么才能给客户端授权
有了这个授权后,客户端可以获取令牌,进而通过令牌获取资源

下面介绍客户端获取授权的四种模式::

客户端授权模式

客户端必须得到用户的授权,才可以获得令牌

• 授权码模式
• 简化模式
• 密码模式
• 客户端模式

授权码模式

功能最完整,流程最严密的授权模式
特点:
通过客户端的后台服务器,与"服务提供商" 的认证服务器互动

步骤:

（A）用户访问客户端，后者将前者导向认证服务器。

（B）用户选择是否给予客户端授权。

（C）假设用户给予授权，认证服务器将用户导向客户端事先指定的"重定向URI"（redirection URI），同时附上一个授权码。

（D）客户端收到授权码，附上早先的"重定向URI"，向认证服务器申请令牌。这一步是在客户端的后台的服务器上完成的，对用户不可见。

（E）认证服务器核对了授权码和重定向URI，确认无误后，向客户端发送访问令牌（access token）和更新令牌（refresh token）。

未完待续…