Oauth2协议详解

本文来说下什么是Oauth2

---

什么是OAuth2

OAuth2是一个非常常用的协议，也非常的方便，主要目的就是使第三方服务器可以获得授权范围内的用户信息

OAuth（开放授权）是一个开放标准，允许用户授权第三方移动应用访问他们存储在另外的服务提供者上的信息，而不需要将用户名和密码提供给第三方移动应用或分享他们数据的所有内容，OAuth2.0是OAuth协议的延续版本，但不兼容OAuth 1.0，即完全废止了OAuth1.0。

在现代的网站中，我们经常会遇到使用OAuth授权的情况，比如有一个比较小众的网站，需要用户登录，但是直接让用户注册就显得非常麻烦，用户可能因为这个原因而流失，那么该网站可以使用OAuth授权，借助于github或者其他的第三方网站的认证授权，来获取相关的用户信息，从而避免了用户注册的步骤。

当然，很可能在第三方网站上授权获得用户信息之后，还需要在本网站填写一些必要的信息进行绑定，比如手机号，用户名等等。但是这比单纯的注册要方便太多了，也容易让用户接受。

今天，我们将要讲解一下OAuth 2.0授权框架的构成，希望大家能够喜欢。

---

应用场景

第三方应用授权登录：在APP或者网页接入一些第三方应用时，经常会需要用户登录另一个合作平台，比如QQ，微博，微信的授权登录。

原生app授权：app登录请求后台接口，为了安全认证，所有请求都带token信息，如果登录验证、请求后台数据。

前后端分离单页面应用（spa）：前后端分离框架，前端请求后台数据，需要进行oauth2安全认证，比如使用vue、react后者h5开发的app。

---

名词说明

名词说明

• Third-party application：第三方应用程序，本文中又称"客户端"（client），比如打开知乎，使用第三方登录，选择qq登录，这时候知乎就是客户端。
• HTTP service：HTTP服务提供商，本文中简称"服务提供商"，即上例的qq。
• Resource Owner：资源所有者，本文中又称"用户"（user）,即登录用户。
• User Agent：用户代理，本文中就是指浏览器。
• Authorization server：认证服务器，即服务提供商专门用来处理认证的服务器。
• Resource server：资源服务器，即服务提供商存放用户生成的资源的服务器。它与认证服务器，可以是同一台服务器，也可以是不同的服务器。

---

运行流程

OAuth 2.0的运行流程如下图，摘自RFC 6749

---

授权模式

授权码模式

授权码模式（authorization code）是功能最完整、流程最严密的授权模式。

（1）用户访问客户端，后者将前者导向认证服务器，假设用户给予授权，认证服务器将用户导向客户端事先指定的"重定向URI"（redirection URI），同时附上一个授权码。

（2）客户端收到授权码，附上早先的"重定向URI"，向认证服务器申请令牌：GET /oauth/token?response_type=code&client_id=test&redirect_uri=重定向页面链接。请求成功返回code授权码，一般有效时间是10分钟。

（3）认证服务器核对了授权码和重定向URI，确认无误后，向客户端发送访问令牌（access token）和更新令牌（refresh token）。POST /oauth/token?response_type=authorization_code&code=SplxlOBeZQQYbYS6WxSbIA&redirect_uri=重定向页面链接。

---

简化模式

简化模式（implicit grant type）不通过第三方应用程序的服务器，直接在浏览器中向认证服务器申请令牌，跳过了"授权码"这个步骤，因此得名。所有步骤在浏览器中完成，令牌对访问者是可见的，且客户端不需要认证。

流程步骤：

• 客户端将用户导向认证服务器。
• 用户决定是否给于客户端授权。
• 假设用户给予授权，认证服务器将用户导向客户端指定的"重定向URI"，并在URI的Hash部分包含了访问令牌。
• 浏览器向资源服务器发出请求，其中不包括上一步收到的Hash值。
• 资源服务器返回一个网页，其中包含的代码可以获取Hash值中的令牌。
• 浏览器执行上一步获得的脚本，提取出令牌。
• 浏览器将令牌发给客户端。

请求URL：

GET /authorize?response_type=token&client_id=s6BhdRkqt3&state=xyz
     &redirect_uri=https%3A%2F%2Fclient%2Eexample%2Ecom%2Fcb HTTP/1.1
    Host: server.example.com
1
2
3

---

用户名密码模式

密码模式（Resource Owner Password Credentials Grant）中，用户向客户端提供自己的用户名和密码。客户端使用这些信息，向"服务商提供商"索要授权。在这种模式中，用户必须把自己的密码给客户端，但是客户端不得储存密码。这通常用在用户对客户端高度信任的情况下。一般不支持refresh token。

步骤说明：

• 用户向客户端提供用户名和密码。
• 客户端将用户名和密码发给认证服务器，向后者请求令牌。
• 认证服务器确认无误后，向客户端提供访问令牌。

   POST /token HTTP/1.1
     Host: server.example.com
     Authorization: Basic czZCaGRSa3F0MzpnWDFmQmF0M2JW
     Content-Type: application/x-www-form-urlencoded
 grant_type=password&username=johndoe&password=A3ddj3w
1
2
3
4
5

---

客户端模式（Client Credentials Grant）

指客户端以自己的名义，而不是以用户的名义，向"服务提供商"进行认证。严格地说，客户端模式并不属于OAuth框架所要解决的问题。在这种模式中，用户直接向客户端注册，客户端以自己的名义要求"服务提供商"提供服务，其实不存在授权问题。

它的步骤如下：

• 客户端向认证服务器进行身份认证，并要求一个访问令牌。
• 认证服务器确认无误后，向客户端提供访问令牌。

A步骤中，客户端发出的HTTP请求，包含以下参数：

• granttype：表示授权类型，此处的值固定为"clientcredentials"，必选项。
• scope：表示权限范围，可选项。

     POST /token HTTP/1.1
     Host: server.example.com
     Authorization: Basic czZCaGRSa3F0MzpnWDFmQmF0M2JW
     Content-Type: application/x-www-form-urlencoded

     grant_type=client_credentials
1
2
3
4
5
6

---

本文小结

本文详细介绍了Oauth2协议相关的知识与内容。