搜索

[16061] 2020-11-07_OAuth2.0认证解析

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2020-11-07_OAuth2.0认证解析 O A u t h 2 . 0 认 证 解 析 原 创   h u a 1 9 9 8   F r e e B u f   2 0 2 0 - 1 1 - 0 7 一 、 一 、   什 么 是 什 么 是 O A u t h 2 . 0 O A u t h 是 一 个 关 于 授 权 （ a u t h o r i z a t i o n ） 的 开 放 网 络 标 准 ， 在 全 世 界 得 到 广 泛 应 用 ， 目 前 的 版 本 是 2 . 0 版 。 O A u t h ( 开 放 授 权 ) 是 一 个 开 放 标 准 。 允 许 第 三 方 网 站 在 用 户 授 权 的 前 提 下 访 问 在 用 户 在 服 务 商 那 里 存 储 的 各 种 信 息 。 而 这 种 授 权 无 需 将 用 户 提 供 用 户 名 和 密 码 提 供 给 该 第 三 方 网 站 。 O A u t h 允 许 用 户 提 供 一 个 令 牌 给 第 三 方 网 站 ， 一 个 令 牌 对 应 一 个 特 定 的 第 三 方 网 站 ， 同 时 该 令 牌 只 能 在 特 定 的 时 间 内 访 问 特 定 的 资 源 。 二 、 二 、   O A u t h 2 . 0 应 用 场 景 应 用 场 景 在 一 个 单 位 中 ， 可 能 是 存 在 多 个 不 同 的 应 用 ， 比 如 汽 车 制 造 企 业 会 有 财 务 的 系 统 ， 4 S 店 的 销 售 系 统 ， 面 向 车 主 的 论 坛 系 统 ， 还 有 E R P 、 O A 、 C R M 系 统 等 等 ， 如 果 每 个 系 统 都 用 独 立 的 账 号 认 证 体 系 ， 会 给 用 户 带 来 很 大 困 扰 ， 也 给 管 理 带 来 很 大 不 便 。 所 以 需 要 设 计 一 种 统 一 登 录 的 解 决 方 案 。 比 如 我 登 陆 了 百 度 账 号 ， 进 贴 吧 时 发 现 已 经 登 录 了 ， 进 糯 米 发 现 也 自 动 登 录 了 。 常 见 的 有 两 种 情 况 ， 一 种 是 S S O （ 单 点 登 录 ） 效 果 是 一 次 输 入 密 码 多 个 网 站 可 以 识 别 在 线 状 态 ； 还 有 一 种 是 多 平 台 登 录 ， 效 果 是 可 以 用 一 个 账 号 （ 比 如 Q Q 账 号 ） 登 录 多 个 不 同 的 网 站 。 三 、 三 、   认 证 流 程 认 证 流 程 O A u t h   2 . 0 的 运 行 流 程 如 下 图 ， 摘 自 R F C   6 7 4 9 。 用 户 打 开 客 户 端 以 后 ， 客 户 端 要 求 用 户 给 予 授 权 。 用 户 同 意 给 予 客 户 端 授 权 。 客 户 端 使 用 上 一 步 获 得 的 授 权 ， 向 认 证 服 务 器 申 请 令 牌 。 认 证 服 务 器 对 客 户 端 进 行 认 证 以 后 ， 确 认 无 误 ， 同 意 发 放 令 牌 。 客 户 端 使 用 令 牌 ， 向 资 源 服 务 器 申 请 获 取 资 源 。 资 源 服 务 器 确 认 令 牌 无 误 ， 同 意 向 客 户 端 开 放 资 源 。 四 、 四 、   客 户 端 注 册 客 户 端 注 册 在 应 用   O A u t h 2 . 0 之 前 ， 必 须 在 授 权 方 服 务 中 注 册 应 用 。 平 台 中 要 求 开 发 者 提 供 如 下 所 示 的 授 权 设 置 项 。 应 用 唯 一 I D ( c l i e n t _ i d ) 应 用 的 唯 一 标 示 ， 在 服 务 器 中 唯 一 存 在 的 分 配 给 一 个 应 用 的 I D ， 是 公 开 透 明 的 字 符 串 ， 授 权 方 服 务 使 用 该 字 符 串 来 标 识 应 用 程 序 ， 并 且 还 用 于 构 建 呈 现 给 用 户 的 授 权   u r l   。 应 用 密 钥 ( c l i e n t _ s e c r e t ) 用 于 验 证 应 用 身 份 ， 并 且 必 须 在 客 户 端 和 服 务 之 间 保 持 私 有 性 。 一 般 在 临 时 c o d e 换 取 T o k e n 时 使 用 。 重 定 向 U R I 或 回 调 U R L ( c a l l b a c k _ u r l ) 重 定 向 U R I 是 授 权 方 服 务 在 用 户 授 权 （ 或 拒 绝 ） 应 用 程 序 之 后 重 定 向 供 用 户 访 问 的 地 址 ， 因 此 也 是 用 于 处 理 授 权 码 或
访 问 令 牌 的 应 用 程 序 的 一 部 分 。 五 、 五 、   认 证 模 式 认 证 模 式 O A u t h 2 . 0 有 五 种 授 权 模 式 。 （ 1 ） 授 权 码 模 式 （ A u t h o r i z a t i o n   C o d e ） （ 2 ） 授 权 码 简 化 模 式 （ I m p l i c i t ） （ 3 ） P w d 模 式 （ R e s o u r c e   O w n e r   P a s s w o r d   C r e d e n t i a l s ） （ 4 ） C l i e n t 模 式 （ C l i e n t   C r e d e n t i a l s ） 但 不 论 哪 种 模 式 ， 都 是 为 了 从 认 证 服 务 器 获 取 A c c e s s   T o k e n ， 用 来 访 问 资 源 服 务 器 。 而 申 请 A c c e s s   T o k e n ， 需 要 提 交 相 应 信 息 。 例 如 ， c l i e n t _ I D ( 我 是 谁 ) ， r e s p o n s e _ t y p e 或 g r a n t _ t y p e ( 申 请 哪 种 模 式 ) ， s c o p e ( 申 请 哪 些 权 限 ， 由 授 权 服 务 器 定 义 ) ， r e d i r e c t _ u r i ( 申 请 结 果 跳 转 至 哪 儿 ) , s t a t e ( 自 定 义 信 息 希 望 服 务 端 原 样 返 回 ) 等 。 当 然 不 同 的 模 式 ， 提 交 信 息 内 容 也 不 同 ， 交 互 的 步 骤 也 不 同 。 1 .   授 权 码 模 式 授 权 码 模 式 授 权 码 模 式 （ a u t h o r i z a t i o n   c o d e ） 是 功 能 最 完 整 、 流 程 最 严 密 的 授 权 模 式 ， 也 是 最 繁 琐 最 安 全 的 一 种 模 式 。 它 的 特 点 就 是 通 过 客 户 端 的 后 台 服 务 器 ， 与 ” 服 务 提 供 商 ” 的 认 证 服 务 器 进 行 互 动 。 c l i e n t 向 资 源 服 务 器 请 求 资 源 ， 被 重 定 向 到 授 权 服 务 器 浏 览 器 向 资 源 拥 有 者 索 要 授 权 ， 之 后 将 用 户 授 权 发 送 给 授 权 服 务 器 授 权 服 务 器 将 授 权 码 转 经 浏 览 器 发 送 给 c l i e n t c l i e n t 拿 着 授 权 码 向 授 权 服 务 器 索 要 访 问 令 牌 授 权 服 务 器 返 回 A c c e s s T o k e n 和 R e f r e s h T o k e n 给 c i l e n t 这 种 模 式 是 四 种 模 式 中 最 安 全 的 一 种 模 式 。 一 般 用 于 c l i e n t 是 W e b 服 务 器 端 应 用 或 第 三 方 的 原 生 A p p 调 用 资 源 服 务 的 时 候 。 因 为 在 这 种 模 式 中 A c c e s s T o k e n 不 会 经 过 浏 览 器 或 移 动 端 的 A p p ， 而 是 直 接 从 服 务 端 去 交 换 ， 这 样 就 最 大 限 度 的 减 小 了 A c c e s s T o k e n 泄 漏 的 风 险 。 认 证 流 程 认 证 流 程
认 证 说 明 认 证 说 明 请 求 认 证 第 三 应 用 开 始 进 行 认 证 时 ， 直 接 浏 览 器 调 用 如 下 u r l : h t t p : / / w w w . s e r v e r . c o m / o a u t h 2 . 0 / a u t h o r i z e ? r e s p o n s e _ t y p e = c o d e & c l i e n t _ i d = { c l i e n t _ i d } & r e d i r e c t _ u r i = { r e d i r e c t _ u r i } & s c o p e = { s c o p e } & s t a t e = { s t a t e } 参 数 说 明 参 数 说 明 参 数 必 须 描 述 r e s p o n s e _ t y p e 是 必 需 参 数 。 请 求 的 响 应 中 ： 一 个 访 问 令 牌 、 一 个 授 权 码 ， 或 两 者 都 有 。 请 求 访 问 令 牌 参 数 值 必 须 设 为 “ t o k e n ” ， 请 求 授 权 码 参 数 值 必 须 设 为 “ c o d e ” ， 或 者 使 用 参 数 值 为 “ c o d e _ a n d _ t o k e n ” 同 时 请 求 两 者 。 授 权 服 务 器 可 能 拒 绝 提 供 这 些 响 应 类 型 中 的 一 种 或 多 种 。 c l i e n t _ i d 是 必 需 参 数 。 客 户 端 标 识 符 。 r e d i r e c t _ u r i 是 必 需 参 数 ， 除 非 通 过 其 它 方 式 在 客 户 端 和 授 权 服 务 器 之 间 已 经 确 定 了 一 个 重 定 向 U R I 。 这 是 当 终 端 用 户 的 授 权 步 骤 完 成 时 授 权 服 务 器 将 要 把 u s e r - a g e n t 重 定 向 到 的 一 个 绝 对 U R I 。 授 权 服 务 器 应 该 要 求 客 户 端 预 先 注 册 它 们 的 重 定 向 U R I 。 s c o p e 否 可 选 参 数 。 访 问 请 求 的 作 用 域 ， 以 空 格 隔 开 的 字 符 串 列 表 来 表 示 。 “ s c o p e ” 参 数 的 值 由 授 权 服 务 器 定 义 。 如 果 这 个 值 包 含 多 个 空 格 隔 开 的 字 符 串 ， 那 么 它 们 的 顺 序 不 分 先 后 ， 而 且 每 个 字 符 串 都 为 请 求 的 作 用 域 增 加 一 个 新 的 访 问 范 围 。 s t a t e 否 可 选 参 数 。 被 客 户 端 用 来 在 请 求 和 回 调 之 间 维 护 状 态 的 值 ， 对 授 权 服 务 器 来 说 是 不 透 明 的 。 授 权 服 务 器 在 将 u s e r - a g e n t 重 定 向 回 客 户 端 时 传 回 这 个 值 。 返 回 说 明 返 回 说 明 客 户 端 通 过 u s e r - a g e n t 使 用 H T T P 重 定 向 响 应 ， 或 者 其 它 可 用 的 方 式 ， 将 终 端 用 户 引 导 到 构 建 好 的 U R I 上 。 对 于 终 端 用 户 授 权 e n d p o i n t ， 授 权 服 务 器 必 须 支 持 H T T P 的 “ G E T ” 方 法 ， 也 可 以 支 持 使 用 “ P O S T ” 方 法 。 正 确 响 应 正 确 响 应 重 定 向 u r l 格 式 如 下 ： r e d i r e c t _ u r i ? c o d e = C O D E & s t a t e = S T A T E c o d e 表 示 由 授 权 服 务 器 产 生 的 授 权 码 。 授 权 码 应 该 在 分 发 后 迅 速 过 期 ， 以 降 低 泄 露 风 险 。 客 户 端 一 定 不 能 重 用 同 一 个 授 权
码 。 如 果 一 个 授 权 码 被 多 次 使 用 ， 授 权 服 务 器 可 能 撤 销 之 前 基 于 这 个 授 权 码 分 发 的 所 有 令 牌 。 授 权 码 与 客 户 端 标 识 符 和 重 定 向 U R I 相 绑 定 。 s t a t e 如 果 “ s t a t e ” 参 数 在 客 户 端 授 权 请 求 中 存 在 ， 则 这 个 参 数 是 必 需 的 。 需 要 精 确 地 设 置 成 从 客 户 端 接 收 到 的 值 。 错 误 响 应 错 误 响 应 如 果 终 端 用 户 拒 绝 了 访 问 请 求 ， 或 者 由 于 除 了 缺 少 或 无 效 重 定 向 U R I 之 外 的 其 它 原 因 而 导 致 请 求 失 败 ， e r r o r _ d e s c r i p t i o n 可 选 参 数 。 提 供 额 外 信 息 的 一 段 人 类 可 读 的 文 字 ， 用 来 帮 助 理 解 和 解 决 发 生 的 错 误 。 e r r o r _ u r i 可 选 参 数 。 指 明 了 一 个 人 类 可 读 的 网 页 U R I ， 带 有 关 于 错 误 的 信 息 ， 用 来 为 终 端 用 户 提 供 与 错 误 有 关 的 额 外 信 息 。 s t a t e 如 果 “ s t a t e ” 参 数 在 客 户 端 授 权 请 求 中 存 在 ， 则 这 个 参 数 是 必 需 的 。 需 要 精 确 地 设 置 成 从 客 户 端 接 收 到 的 值 。 通 过 通 过 c o d e 获 取 获 取 a c c e s s T o k e n h t t p : / / w w w . s e r v e r . c o m / o a u t h 2 . 0 / a c c e s s T o k e n ? c l i e n t _ i d = { c l i e n t _ i d } & c l i e n t _ s e c r e t = { c l i e n t _ s e c r e t } & c o d e = { c o d e } & g r a n t _ t y p e = a u t h o r i z a t i o n _ c o d e & r e d i r e c t _ u r i = { r e d i r e c t _ u r i } 参 数 说 明 参 数 说 明 参 数 必 须 描 述 c l i e n t _ i d 是 必 需 参 数 。 客 户 端 标 识 符 。 c l i e n t _ s e c r e t 是 必 需 参 数 。 包 含 客 户 端 私 有 证 书 。 g r a n t _ t y p 是 必 需 参 数 。 在 请 求 中 所 包 含 的 访 问 许 可 类 型 。 它 的 值 必 须 是 “ a u t h o r i z a t i o n _ c o d e ” c o d e 是 必 需 参 数 。 从 授 权 服 务 器 接 收 到 的 授 权 码 。 r e d i r e c t _ u r i 是 必 需 参 数 。 在 最 初 请 求 中 使 用 的 重 定 向 U R I 。 返 回 说 明 返 回 说 明 客 户 端 通 过 u s e r - a g e n t 使 用 H T T P 重 定 向 响 应 ， 或 者 其 它 可 用 的 方 式 ， 将 终 端 用 户 引 导 到 构 建 好 的 U R I 上 。 对 于 终 端 用 户 授 权 e n d p o i n t ， 授 权 服 务 器 必 须 支 持 H T T P 的 “ G E T ” 方 法 ， 也 可 以 支 持 使 用 “ P O S T ” 方 法 。 正 确 响 应 正 确 响 应 a c c e s s _ t o k e n 由 授 权 服 务 器 分 发 的 访 问 令 牌 。 t o k e n _ t y p e 分 发 的 令 牌 类 型 。 令 牌 类 型 告 诉 客 户 端 一 个 信 息 ， 即 当 访 问 一 个 受 保 护 资 源 时 访 问 令 牌 应 该 如 何 被 使 用 。 e x p i r e s _ i n 访 问 令 牌 生 命 周 期 的 秒 数 。 例 如 ， “ 3 6 0 0 ” 表 示 自 响 应 被 授 权 服 务 器 产 生 的 时 刻 起 ， 访 问 令 牌 将 在 一 小 时 后 过 期 。 错 误 响 应 错 误 响 应
如 果 终 端 用 户 拒 绝 了 访 问 请 求 ， 或 者 由 于 除 了 缺 少 或 无 效 重 定 向 U R I 之 外 的 其 它 原 因 而 导 致 请 求 失 败 ， e r r o r 错 误 码 错 误 码 i n v a l i d _ r e q u e s t 请 求 缺 少 某 个 必 需 参 数 ， 包 含 一 个 不 支 持 的 参 数 或 参 数 值 ， 参 数 重 复 ， 包 含 多 个 私 有 证 书 ， 使 用 了 多 种 验 证 客 户 端 的 机 制 ， 或 者 请 求 格 式 不 正 确 。 i n v a l i d _ c l i e n t 提 供 的 客 户 端 标 识 符 是 无 效 的 ， 客 户 端 验 证 失 败 ， 客 户 端 不 包 含 私 有 证 书 ， 提 供 了 多 个 客 户 端 私 有 证 书 ， 或 使 用 了 不 支 持 的 证 书 类 型 。 u n a u t h o r i z e d _ c l i e n t 经 过 验 证 的 客 户 端 没 有 权 限 使 用 提 供 的 访 问 许 可 类 型 。 i n v a l i d _ g r a n t 提 供 的 访 问 许 可 是 无 效 的 、 过 期 的 或 已 撤 销 的 （ 例 如 ， 无 效 的 断 言 ， 过 期 的 授 权 令 牌 ， 错 误 的 终 端 用 户 密 码 证 书 ， 或 者 不 匹 配 的 授 权 码 和 重 定 向 U R I ） 。 u n s u p p o r t e d _ g r a n t _ t y p e 包 含 的 访 问 许 可 — — 它 的 类 型 或 其 它 属 性 — — 不 被 授 权 服 务 器 所 支 持 。 i n v a l i d _ s c o p e 请 求 的 作 用 域 是 无 效 的 、 未 知 的 、 格 式 不 正 确 的 ， 或 超 出 了 之 前 许 可 的 作 用 域 。 e r r o r _ d e s c r i p t i o n 可 选 参 数 。 提 供 额 外 信 息 的 一 段 人 类 可 读 的 文 字 ， 用 来 帮 助 理 解 和 解 决 发 生 的 错 误 。 e r r o r _ u r i 可 选 参 数 。 指 明 了 一 个 人 类 可 读 的 网 页 U R I ， 带 有 关 于 错 误 的 信 息 ， 用 来 为 终 端 用 户 提 供 与 错 误 有 关 的 额 外 信 息 。 使 用 场 景 使 用 场 景 通 过 前 端 渠 道 客 户 获 取 授 权 码 通 过 后 端 渠 道 ， 客 户 使 用 a u t h o r i z a t i o n   c o d e 去 交 换 A c c e s s T o k e n 和 可 选 的 R e f r e s h T o k e n 假 定 资 源 拥 有 者 和 客 户 在 不 通 的 设 备 上 或 域 名 上 最 安 全 的 流 程 ， A c c e s s T o k e n 不 会 传 递 到 或 经 过 u s e r - a g e n t （ 浏 览 器 前 端 ） 2 .   授 权 码 简 化 模 式 授 权 码 简 化 模 式 在 授 权 码 模 式 中 ， A u t h o r i z a t i o n   C o d e 和 A c c e s s   T o k e n 都 由 授 权 服 务 器 生 成 和 验 证 ， 而 最 终 只 用 到 A c c e s s   T o k e n ， 这 让 A u t h o r i z a t i o n   C o d e 显 得 无 足 轻 重 。 因 此 ， 授 权 码 简 化 模 式 ， 去 掉 了 A u t h o r i z a t i o n   C o d e 的 申 请 流 程 ， 从 而 通 过 U s e r -
A g e n t （ B r o w s e r ） 直 接 申 请 A c c e s s   T o k e n 。 简 化 了 请 求 步 骤 比 授 权 码 模 式 少 一 步 操 作 ， 在 返 回 c o d e 时 改 为 了 直 接 返 回 T o k e n 。 认 证 流 程 认 证 流 程 认 证 说 明 认 证 说 明 请 求 认 证 请 求 认 证 第 三 应 用 开 始 进 行 认 证 时 ， 直 接 浏 览 器 调 用 如 下 u r l : h t t p : / / w w w . s e r v e r . c o m / o a u t h 2 . 0 / a u t h o r i z e ? r e s p o n s e _ t y p e = t o k e n & c l i e n t _ i d = { c l i e n t _ i d } & r e d i r e c t _ u r i = { r e d i r e c t _ u r i } & s c o p e = { s c o p e } & s t a t e = { s t a t e } 参 数 说 明 参 数 说 明 参 数 必 须 描 述 r e s p o n s e _ t y p e 是 必 需 参 数 。 请 求 的 响 应 中 ： 一 个 访 问 令 牌 、 一 个 授 权 码 ， 或 两 者 都 有 。 请 求 访 问 令 牌 参 数 值 必 须 设 为 “ t o k e n ” ， 请 求 授 权 码 参 数 值 必 须 设 为 “ c o d e ” ， 或 者 使 用 参 数 值 为 “ c o d e _ a n d _ t o k e n ” 同 时 请 求 两 者 。 授 权 服 务 器 可 能 拒 绝 提 供 这 些 响 应 类 型 中 的 一 种 或 多 种 。 c l i e n t _ i d 是 必 需 参 数 。 客 户 端 标 识 符 。 r e d i r e c t _ u r i 是 必 需 参 数 ， 除 非 通 过 其 它 方 式 在 客 户 端 和 授 权 服 务 器 之 间 已 经 确 定 了 一 个 重 定 向 U R I 。 这 是 当 终 端 用 户 的 授 权 步 骤 完 成 时 授 权 服 务 器 将 要 把 u s e r - a g e n t 重 定 向 到 的 一 个 绝 对 U R I 。 授 权 服 务 器 应 该 要 求 客 户 端 预 先 注 册 它 们 的 重 定 向 U R I 。 s c o p e 否 可 选 参 数 。 访 问 请 求 的 作 用 域 ， 以 空 格 隔 开 的 字 符 串 列 表 来 表 示 。 “ s c o p e ” 参 数 的 值 由 授 权 服 务 器 定 义 。 如 果 这 个 值 包 含 多 个 空 格 隔 开 的 字 符 串 ， 那 么 它 们 的 顺 序 不 分 先 后 ， 而 且 每 个 字 符 串 都 为 请 求 的 作 用 域 增 加 一 个 新 的 访 问 范 围 。 s t a t e 否 可 选 参 数 。 被 客 户 端 用 来 在 请 求 和 回 调 之 间 维 护 状 态 的 值 ， 对 授 权 服 务 器 来 说 是 不 透 明 的 。 授 权 服 务 器 在 将 u s e r - a g e n t 重 定 向 回 客 户 端 时 传 回 这 个 值 。 返 回 说 明 返 回 说 明 客 户 端 通 过 u s e r - a g e n t 使 用 H T T P 重 定 向 响 应 ， 或 者 其 它 可 用 的 方 式 ， 将 终 端 用 户 引 导 到 构 建 好 的 U R I 上 。 对 于 终 端 用 户 授 权 e n d p o i n t ， 授 权 服 务 器 必 须 支 持 H T T P 的 “ G E T ” 方 法 ， 也 可 以 支 持 使 用 “ P O S T ” 方 法 。 正 确 响 应 正 确 响 应 重 定 向 u r l 格 式 如 下 ： r e d i r e c t _ u r i ? a c c e s s _ t o k e n = 2 Y o t n F Z F E j r 1 z C s i c M W p A A & s t a t e = x y z & t o k e n _ t y p e = e x a m p l e & e x p i r e s _ i n = 3 6 0 0 a c c e s s _ t o k e n 由 授 权 服 务 器 分 发 的 访 问 令 牌 。
t o k e n _ t y p e 分 发 的 令 牌 类 型 。 令 牌 类 型 告 诉 客 户 端 一 个 信 息 ， 即 当 访 问 一 个 受 保 护 资 源 时 访 问 令 牌 应 该 如 何 被 使 用 。 e x p i r e s _ i n 访 问 令 牌 生 命 周 期 的 秒 数 。 例 如 ， “ 3 6 0 0 ” 表 示 自 响 应 被 授 权 服 务 器 产 生 的 时 刻 起 ， 访 问 令 牌 将 在 一 小 时 后 过 期 。 错 误 响 应 如 果 终 端 用 户 拒 绝 了 访 问 请 求 ， 或 者 由 于 除 了 缺 少 或 无 效 重 定 向 U R I 之 外 的 其 它 原 因 而 导 致 请 求 失 败 ， e r r o r _ d e s c r i p t i o n 可 选 参 数 。 提 供 额 外 信 息 的 一 段 人 类 可 读 的 文 字 ， 用 来 帮 助 理 解 和 解 决 发 生 的 错 误 。 e r r o r _ u r i 可 选 参 数 。 指 明 了 一 个 人 类 可 读 的 网 页 U R I ， 带 有 关 于 错 误 的 信 息 ， 用 来 为 终 端 用 户 提 供 与 错 误 有 关 的 额 外 信 息 。 s t a t e 如 果 “ s t a t e ” 参 数 在 客 户 端 授 权 请 求 中 存 在 ， 则 这 个 参 数 是 必 需 的 。 需 要 精 确 地 设 置 成 从 客 户 端 接 收 到 的 值 。 使 用 场 景 使 用 场 景 适 用 于 公 开 的 浏 览 器 单 页 应 用 A c c e s s T o k e n 直 接 从 授 权 服 务 器 返 回 ( 只 有 前 端 渠 道 ) 不 支 持 r e f r e s h T o k e n s 假 定 资 源 所 有 者 和 公 开 客 户 应 用 在 同 一 个 设 备 上 最 容 易 受 安 全 攻 击 3 .   P w d 模 式 模 式 密 码 模 式 是 用 户 直 接 将 自 己 的 用 户 名 密 码 交 给 c l i e n t ， c l i e n t 用 用 户 的 用 户 名 密 码 直 接 换 取 A c c e s s T o k e n 。 用 户 将 认 证 密 码 发 送 给 c l i e n t c l i e n t 拿 着 用 户 的 密 码 向 授 权 服 务 器 请 求 A c c e s s   T o k e n 授 权 服 务 器 将 A c c e s s   T o k e n 和 R e f r e s h   T o k e n 发 送 给 c l i e n t 这 种 模 式 十 分 简 单 ， 但 是 却 意 味 着 直 接 将 用 户 敏 感 信 息 泄 漏 给 了 c l i e n t ， 因 此 这 就 说 明 这 种 模 式 只 能 用 于 c l i e n t 是 我 们 自 己 开 发 的 情 况 下 。 因 此 密 码 模 式 一 般 用 于 我 们 自 己 开 发 的 ， 第 一 方 原 生 A p p 或 第 一 方 单 页 面 应 用 。 认 证 流 程 认 证 流 程
认 证 说 明 认 证 说 明 客 户 端 请 求 认 证 |   R e q u e s t ： P O S T   / t o k e n   H T T P / 1 . 1 H o s t :   s e r v e r . e x a m p l e . c o m C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d c l i e n t _ i d = X X X X & g r a n t _ t y p e = p a s s w o r d & u s e r n a m e = u s e r & p a s s w o r d = p w d   | |   — -   | c l i e n t _ i d   –   必 选 项 ， 标 识 引 用 g r a n t _ t y p e   -   必 选 项 ， 值 恒 为 p a s s w o r d u s e r n a m e   –   必 选 项 ， 用 户 认 证 的 用 户 名 p a s s w o r d   –   必 选 项 ， 用 户 认 证 的 密 码 服 务 器 返 回 A c c e s s T o k e n R e s p o n s e ： ： { “ a c c e s s _ t o k e n ” : ” 2 Y o t n F Z F E j r 1 z C s i c M W p A A ” , ” t o k e n _ t y p e ” : ” e x a m p l e ” , ” e x p i r e s _ i n ” : 3 6 0 0 } e x p i r e s _ i n 为 t o k e n 有 效 时 长 ， 单 位 为 秒 。 应 用 场 景 应 用 场 景 使 用 用 户 名 密 码 登 录 的 应 用 ， 例 如 桌 面 A p p 使 用 用 户 名 / 密 码 作 为 授 权 方 式 从 授 权 服 务 器 上 获 取 a c c e s s T o k e n 一 般 不 支 持 r e f r e s h T o k e n 假 定 资 源 拥 有 者 和 公 开 客 户 在 相 同 设 备 上 4 .   C l i e n t 模 式 模 式 这 是 一 种 最 简 单 的 模 式 ， 只 要 c l i e n t 请 求 ， 我 们 就 将 A c c e s s T o k e n 发 送 给 它 。 c l i e n t 向 授 权 服 务 端 发 送 自 己 的 身 份 信 息 ， 并 请 求 A c c e s s T o k e n 。 服 务 端 确 认 c l i e n t 信 息 无 误 后 ， 将 A c c e s s T o k e n 发 送 给 c l i e n t 。 这 种 模 式 是 最 方 便 但 最 不 安 全 的 模 式 。 因 此 这 就 要 求 我 们 对 c l i e n t 完 全 的 信 任 ， 而 c l i e n t 本 身 也 是 安 全 的 。 因 此 这 种 模 式 一 般 用 来 提 供 给 我 们 完 全 信 任 的 服 务 器 端 服 务 ， 在 这 个 过 程 中 不 需 要 用 户 的 参 与 。 认 证 流 程 认 证 流 程
认 证 说 明 认 证 说 明 客 户 端 请 求 认 证 |   R e q u e s t ： P O S T   / t o k e n   H T T P / 1 . 1 H o s t :   s e r v e r . e x a m p l e . c o m A u t h o r i z a t i o n :   B a s i c c z Z C a G R S a 3 F 0 M z p n W D F m Q m F 0 M 2 J W C o n t e n t - T y p e :   a p p l i c a t i o n / x - w w w - f o r m - u r l e n c o d e d c l i e n t _ i d = X X X X & g r a n t _ t y p e = c l i e n t _ c r e d e n t i a l s   | |   — -   | A u t h o r i z a t i o n   参 考 b a s i c 认 证 c l i e n t _ i d   –   必 选 项 ， 标 识 应 用 g r a n t _ t y p e   -   必 选 项 ， 值 恒 为 c l i e n t _ c r e d e n t i a l s 服 务 器 返 回 A c c e s s T o k e n R e s p o n s e ： ： { “ a c c e s s _ t o k e n ” : ” 2 Y o t n F Z F E j r 1 z C s i c M W p A A ” , ” t o k e n _ t y p e ” : ” e x a m p l e ” , ” e x p i r e s _ i n ” : 3 6 0 0 } e x p i r e s _ i n 为 t o k e n 有 效 时 长 ， 单 位 为 秒 。 应 用 场 景 应 用 场 景 适 用 于 服 务 器 间 通 信 场 景 只 有 后 端 渠 道 ， 使 用 客 户 凭 证 获 取 一 个 a c c e s s   t o k e n 因 为 客 户 凭 证 可 以 使 用 对 称 或 者 非 对 称 加 密 ， 该 方 式 支 持 共 享 密 码 或 者 证 书 六 、 六 、   O A u t h 2 . 0 基 于 基 于 W e b 的 安 全 设 计 的 安 全 设 计 在 O A u t h 2 早 期 的 时 候 爆 发 过 不 少 相 关 的 安 全 方 面 的 漏 洞 ， 其 实 仔 细 分 析 后 会 发 现 大 都 都 是 没 有 严 格 遵 循 O A u t h 2 的 安 全 相 关 的 指 导 造 成 的 ， 相 关 的 漏 洞 事 件 百 度 以 下 就 有 了 。 其 实 O A u t h 2 在 设 计 之 初 是 已 经 做 了 很 多 安 全 方 面 的 考 虑 ， 并 且 在 R F C 6 7 4 9 中 加 入 了 一 些 安 全 方 面 的 规 范 指 导 。 要 求 A u t h o r i z a t i o n   s e r v e r 进 行 有 效 的 C l i e n t 验 证 ， 比 如 对 c l i e n t I D 和 c a l l b a c k 地 址 的 校 验 ； c l i e n t _ s e r e c t , a c c e s s _ t o k e n , r e f r e s h _ t o k e n , c o d e 等 敏 感 信 息 的 安 全 存 储 （ 不 得 泄 露 给 第 三 方 ） 、 传 输 通 道 的 安 全 性 （ T S L 的 要 求 ） ； 维 持 r e f r e s h _ t o k e n 和 第 三 方 应 用 的 绑 定 ， 刷 新 失 效 机 制 的 设 计 不 允 许 长 期 有 效 的 t o k e n 存 在 ； 维 持 A u t h o r i z a t i o n   C o d e 和 第 三 方 应 用 的 绑 定 ， 这 也 是 s t a t e 参 数 为 什 么 是 推 荐 的 一 点 ， 以 防 止 C S R F ； 保 证 上 述 各 种 令 牌 信 息 的 不 可 猜 测 行 ， 以 防 止 被 猜 测 得 到 ； 服 务 提 供 者 应 尝 试 教 育 最 终 用 户 有 关 钓 鱼 攻 击 构 成 的 风 险 ， 并 且 应 该 为 最 终 用 户 提 供 使 确 认 它 们 的 站 点 的 真
伪 变 得 简 单 的 机 制 。 授 权 服 务 器 必 须 为 它 的 授 权 端 点 实 现 C S R F 保 护 并 且 确 保 在 资 源 所 有 者 未 意 识 到 且 无 显 式 同 意 时 恶 意 客 户 端 不 能 获 得 授 权 。 精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理