【OAuth2】授权框架的四种授权方式详解

🎉🎉欢迎来到我的CSDN主页！🎉🎉

🏅我是Java方文山，一个在CSDN分享笔记的博主。📚📚

🌟推荐给大家我的专栏《OAuth 2》。🎯🎯

👉点击这里，就可以查看我的主页啦！👇👇

Java方文山的个人主页

🎁如果感觉还不错的话请给我点赞吧！🎁🎁

💖期待你的加入，一起学习，一起进步！💖💖

请添加图片描述

一、OAuth2的简介

1.什么OAuth2

OAuth 2 是一种授权框架，允许第三方应用通过用户授权的形式访问服务中的用户信息，最常见的场景是授权登录；再复杂一点的比如第三方应用通过 Github 给开发者提供的接口访问权限内的用户信息或仓库信息。OAuth2 广泛应用于 web 、桌面应用、移动 APP 的第三方服务提供了授权验证机制，以此实现不同应用间的数据访问权限。 下面分别从不同角色、授权类型、使用场景及流程的纬度详细介绍 OAuth2

2.OAuth Roles

OAuth 定义了四种角色

  • 资源拥有者 (Resource Owner)
  • 客户端 (Client)
  • 资源服务器 (Resource Server)
  • 授权服务器 (Authorization Server)

资源拥有者其实就是真实的用户，用户授权给第三方应用访问在其他系统的用户信息。第三方应用访问授权用户的信息范围 scope 属于申请接入服务时选择的权限之内(例如：读或写访问权限)

资源服务控制用户的信息，授权服务验证用户提供的信息是否正确并返回 access token 给第三方应用。 站在第三方开发者的角度看，被接入的系统提供的服务 API 同时实现了资源和授权角色。在这里把资源服务端和授权服务端统一为“服务角色或 API 角色”。

客户端就是要求接入的第三方应用，获取用户在提供服务的系统的账户信息。对于客户端而言，最终获取到用户在服务端的账户信息首先需要用户授权，用户授权后传给提供服务端验证成功之后返回 access token ，在通过 access token 请求提供服务的系统（在这里我们成为 API ，下文也是）获取用户在 API 中的账户信息。

3.授权流程

接下来文中提到的客户端均为第三方应用，服务端均为被接入的服务。譬如拉勾网有微博登录功能，那么拉勾网就是客户端，微博就是服务端。

刚刚解释了 OAuth 系统中角色的概念，接下来可以解释整个授权的流程。

流程图解释：

  1. 用户点击客户端提供的授权请求
  2. 客户端请求服务的授权页面呈现给用户，用户点击确认授权后服务端返回授权许可凭证给客户端
  3. 客户端通过步骤二接收到的授权许可凭证及在服务端注册的应用信息请求服务端
  4. 如果步骤三验证通过服务端则返回 access token 给客户端
  5. 客户端通过第四步获取的 access token 请求服务端获取资源
  6. 如果服务端校验 access token 成功，则返回指定资源给客户端

以上步骤是 OAuth2 授权登录的步骤，当然不同类型的授权许步骤会不一样，下文会详细逐一讨论。

二、第三方应用创建

第三方接入某平台的 OAuth 2 服务之前，通常需要在平台提供的注册网站（通常叫做 developer" or "API"）新建一个应用，注册成功之后平台会生成应用的 ID 和密码。 读者可以访问 Github 的开发中心看看，国内写的规范的有 coding developer

在平台的注册页面至少得提供如下信息

  • 应用名称
  • 应用网址
  • 回调链接

回调域名的作用：用户点击同意按钮之后，服务端向客户端返回授权码或 access token ,当然如果是禁止操作也需回调告知客户端结果。

在 OAuth 2 服务提供平台新建一个应用之后，平台会提供一对客户端 ID 和密码作为客户端凭证。客户端 ID 是可以公开的字符串，用以构建授权请求链接；用户授权之后，客户端使用服务端的授权码和平台分配的密码获取 access token 。密码应当妥善保管以免泄漏。

1.授权许可

在第一张授权流程图中，前四步包含了获取授权许可获取 access token ,授权许可有四种类型，服务端返回哪种类型取决于客户端在请求链接中构建的 response_type 参数。四种类型的授权许可有不同的应用场景：

  • 授权码：通过授权码，服务端通过 Ajax 把 access token 返回给客户端
  • 隐式：用于移动 APP 或 web 应用（应用运行在用户的设备上）
  • 用户密码凭证：同一个公司不同系统之间内部账户互联互通，比如国内某社区的代码托管系统通过社区的账户也可以登录。
  • 客户端凭证：第三方应用自身服务访问提供 OAuth2 服务提供的平台资源

1.1.授权码 (Grant Type: Authorization Code)

授权码是 OAuth2 授权最广泛的方式，得益于平台给第三方应用分配的 ID 和密码都是隐藏在第三方应用的后端代码中。因为授权码是基于重定向的方式，要想使用授权码的方式，第三方应用必须能够调用用户系统中的应用（譬如浏览器）、和提供一个接口接收平台服务的回调获取授权码。

一步步解释授权码的流程图

步骤一：构建获取授权码请求链接
下文提到的例子都是基于 digiterocean 的 OAuth2

第一步是构建一个请求 Auth Server 获取授权码的链接，向服务端发起请求

https://cloud.digitalocean.com/v1/oauth/authorize?response_type=code&client_id=CLIENT_ID&redirect_uri=CALLBACK_URL&scope=read

分解请求链接：

  • https://cloud.digitalocean.com/v1/oauth/authorize 表示服务端授权 endpoint
  • client_id 平台分配给第三方应用的 ID
  • redirect_uri=CALLBACK_URL 第三方开发者在平台新建第三方应用时填写的回调 URL
  • response_type=code 指定服务端返回授权码
  • scope=read 指定第三方应用请求权限类型
步骤二：用户授权给第三方应用

当用户点击第一步构建的链接之后，在用户已经登录服务端之后才能点击确认授权（譬如想通过微信登录某个第三方网址，你必须首先已经登录微博）。这是平台会给用户提供一个页面给用户确认是否授权。

步骤三：服务端给客户端返回授权码

当用户点击同意授权之后，服务端发起一个请求重定向到第三方平台填写的回调链接，且请求链接中同时包含了服务端生成的授权码。

https://dropletbook.com/callback?code=AUTHORIZATION_CODE
步骤四：第三方应用请求服务端，获取 access token

客户端获取到服务端返回的授权码之后，接着使用授权码和平台分配的密码请求服务端获取服务端的 access token 。第三方应用后端代码拼接的 URL 格式形似：

https://cloud.digitalocean.com/v1/oauth/token?client_id=CLIENT_ID&client_secret=CLIENT_SECRET&grant_type=authorization_code&code=AUTHORIZATION_CODE&redirect_uri=CALLBACK_URL

在这里需注意两个参数，其一是 client_secret 没有暴露出去，在第三方应用后端代码中拼接请求链接；另一是 redirect_uri ，这里不是在平台新建应用时填写的回调链接，而是第三方应用已经实现的另一个 action 处理服务端返回 access token 的请求。

步骤五：第三方应用接收 access token

如果第四部客户端发送的信息被服务端校验成功，服务端则返回 access token ，有一些平台同时也同时传递 refresh token 。返回的 json 信息形似：

{
"access_token":"ACCESS_TOKEN",
"token_type":"bearer",
"expires_in":2592000,
"refresh_token":"REFRESH_TOKEN",
"scope":"read",
"uid":100101,
"info":{"name":"Mark E. Mark","email":"mark@thefunkybunch.com"}
}

至此，已经走完 oauth 2 授权码的方式所有流程。在 access_token 没有失效的前提下，可通过 access_token 可以访问平台服务端提供的资源。另外如果还提供了 refresh_token ，在 access_token 失效的情况下，可以通过 refresh_token 再次去获取有效的 access_token 。

1.2.隐式 (Grant Type: Implicit)

相比授权码的授权许可这种后端实现，隐式授权类型在应用于前端实现（移动客户端或者浏览器），其缺陷就是并不保证平台分配给第三方平台的密码凭证足够安全。隐式授权同样也是基于重定向的方式，但是 access_token 通过网页重定向返回给第三方平台而不是通过接口调用的方式 暴露了 access_token 在重定向链接中，这点和授权码不同。另外，也不支持服务端校验客户端第三方应用密码，只是依赖在平台新建应用是填写的回调链接。

隐式授权不支持 refresh_token

授权大概流程如下：用户请求授权，同意授权后服务端把 access_token 拼接到回调链接上通过浏览器重定向到客户端，然后客户端获取到 access_token 。

通过流程图可看出在第三步和授权码不同的是服务端重定向到网页而不是通过接口把 access_token 返回给客户端。

步骤一：构建隐式授权请求链接

与授权码的步骤一差不多一致，只是 response_type 字段的参数值为 token

步骤二：用户授权给第三方

与授权码授权的步骤二完全一致

步骤三：通过服务端重定向链接，User-agent (浏览器或者 APP) 获取 access_token

与授权码不同的是，用户点击授权之后服务端通过把 access_token 通过网页重定向到回调链接，客户端通过重定向链接才能获取到access_token ；而授权码获取 access_token是通过服务端通过 ajax 请求的形式直接访问第三方应用的后端接口，把 access_token传给第三方后端。

步骤三：前端根据重定向调整

前端浏览器重定向请求第三方平台的后端

步骤五：第三方应用后端通过脚本获取在重定向链接中的 access_token

第三方应用后端通过脚本获取在重定向链接上的 access_token

步骤六：User-Agent 执行第三方应用后端返回的脚本把 access_token 返回给第三方平台后端。

1.3用户密码凭证

用户直接给第三方应用提供在提供服务端账号密码，获取服务端的 access_token。这种授权方式常用于一个企业不同服务之间的账号互联互通。 用户给第三方应用提供账号密码之后，客户端发送 POST 请求给服务端获取access_token

https://oauth.example.com/token?grant_type=password&username=USERNAME&password=PASSWORD&client_id=CLIENT_ID

如果服务端校验客户端（第三方应用）传过来的账户密码正确，则把 access_token返回给客户端，用户授权完成。

1.4.客户端凭证

这种授权方式常用于第三方应用想要更改自身在服务提供方注册的应用信息，比如更改应用描述或回调链接地址。

第三方应用通过发送服务端分配的 ID 和密码给后端校验，POST 的 URL 格式形似：

https://oauth.example.com/token?grant_type=client_credentials&client_id=CLIENT_ID&client_secret=CLIENT_SECRET

Access Token 和 Refresh Token

第三方应用从服务提供平台获取到有效的 access_token 之后，即可根据平台提供的接口访问服务端的资源。

curl -X POST -H "Authorization: Bearer ACCESS_TOKEN""https://api.digitalocean.com/v2/$OBJECT"

如果服务提供平台支持 refresh_token ，那么第三方应用的 access_token 失效之后，可通过 refresh_token 再次获取有效的 access_token

例如 digitalocean 支持第三方应用通过 POST 请求再此获取有效的 access_token

https://cloud.digitalocean.com/v1/oauth/token?grant_type=refresh_token&client_id=CLIENT_ID&client_secret=CLIENT_SECRET&refresh_token=REFRESH_TOKEN

请添加图片描述​

到这里我的分享就结束了，欢迎到评论区探讨交流！！

💖如果觉得有用的话还请点个赞吧 💖

本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。如若转载，请注明出处：http://www.rhkb.cn/news/224114.html

如若内容造成侵权/违法违规/事实不符，请联系长河编程网进行投诉反馈email:809451989@qq.com，一经查实，立即删除！

相关文章

经典文献阅读之--RenderOcc(使用2D标签训练多视图3D Occupancy模型)

经典文献阅读之--RenderOcc(使用2D标签训练多视图3D Occupancy模型)

0. 简介 3D占据预测在机器人感知和自动驾驶领域具有重要的潜力，它将3D场景量化为带有语义标签的网格单元。最近的研究主要利用3D体素空间中的完整占据标签进行监督。然而，昂贵的注释过程和有时模糊的标签严重限制了3D占据模型的可用性和可扩展性。为了解…
阅读更多...
Netty-4-网络编程模式

Netty-4-网络编程模式

我们经常听到各种各样的概念——阻塞、非阻塞、同步、异步，这些概念都与我们采用的网络编程模式有关。 例如，如果采用BIO网络编程模式，那么程序就具有阻塞、同步等特质。 诸如此类，不同的网络编程模式具有不同的特点&#xff0c…
阅读更多...
​创新驱动，边缘计算领袖：亚马逊云科技海外服务器服务再进化

​创新驱动，边缘计算领袖：亚马逊云科技海外服务器服务再进化

2022年亚马逊云科技re:Invent盛会于近日在拉斯维加斯成功召开，吸引了众多业界精英和创新者。亚马逊云科技边缘服务副总裁Jan Hofmeyr在演讲中分享了关于亚马逊云科技海外服务器边缘计算的最新发展和创新成果，引发与会者热烈关注。 re:Invent的核心主题是…
阅读更多...
VMware虚拟机的安装配置

VMware虚拟机的安装配置

目录 一. VMware虚拟机的安装 二. VMware配置虚拟机 三. VMware安装windows server 2012 一. VMware虚拟机的安装 1. 双击安装，点击下一步 2. 勾选接受许可，点击下一步 3. 选择安装位置，点击下一步 4. 用户体验设置（可选&#…
阅读更多...
2024年PMP考试新考纲-PMBOK第七版-项目管理原则真题解析（续3）

2024年PMP考试新考纲-PMBOK第七版-项目管理原则真题解析（续3）

马上就要进入2024年了，要参加2024年PMP一季度考试的小伙伴可以准备起来了。2024年的PMP考试将继续采用新考试大纲，考试内容包括PMBOK第六版、PMBOK第七版和敏捷实践指南，而且敏捷（或者叫混合）的项目环境将占比超过50%&…
阅读更多...
软件测试面试之——前后端问题判定

软件测试面试之——前后端问题判定

阅读更多...
Python的基本数据类型和数据类型的转换

Python的基本数据类型和数据类型的转换

TOC 数据类型 类型查看 type 可以使用type内置函数查看变量所指的对象类型 a1 b1.0 c"1" d1, e[1] f{1:1} g{1}print(type(a)) print(type(b)) print(type(c)) print(type(d)) print(type(e)) print(type(f)) print(type(g))isinstance **如字面意思,isinstance()…
阅读更多...
linux运行可执行文件，通过c语言调用java的main方法

linux运行可执行文件，通过c语言调用java的main方法

前言&#xff1a;以前一直在做Android开发&#xff0c;在某本书上看过一句话“Android上面不只有App类的程序可以运行&#xff0c;能在linux下运行的程序&#xff0c;也可以在Android上面运行” 一.编写C语言部分代码 1.定义java.h头文件 #include <jni.h>#ifndef _JAV…
阅读更多...
【微服务】springboot整合kafka-stream使用详解

【微服务】springboot整合kafka-stream使用详解

目录 一、前言 二、kafka stream概述 2.1 什么是kafka stream 2.2 为什么需要kafka stream 2.2.1 对接成本低 2.2.2 节省资源 2.2.3 使用简单 2.3 kafka stream特点 2.4 kafka stream中的一些概念 2.5 Kafka Stream应用场景 三、环境准备 3.1 搭建zk 3.1.1 自定义d…
阅读更多...
制作自己的 Docker 容器

制作自己的 Docker 容器

软件开发最大的麻烦事之一&#xff0c;就是环境配置。用户必须保证操作系统的设置&#xff0c;各种库和组件的安装&#xff0c;只有它们都正确&#xff0c;软件才能运行。docker从根本上解决问题&#xff0c;软件安装的时候&#xff0c;把原始环境一模一样地复制过来。 以 koa-…
阅读更多...
RHCE9学习指南 第9章 权限管理

RHCE9学习指南 第9章 权限管理

9.1 所有者所属组 为了了解所有者和所属组的概念&#xff0c;我们先看图9-1。 图9-1 用房子来帮助理解所有者和所属组 张老板是公司老板&#xff0c;买了一套房作为员工宿舍给A部门的员工居住。张老板是房主&#xff0c;所以他对房子具有很多权限&#xff0c;A部门员工只能具…
阅读更多...
SuperMap iServer发布的ArcGIS REST 地图服务如何通过ArcGIS API加载

SuperMap iServer发布的ArcGIS REST 地图服务如何通过ArcGIS API加载

作者&#xff1a;yx 文章目录 一、发布服务二、代码加载三、结果展示 一、发布服务 SuperMap iServer支持将地图发布为ArcGIS REST地图服务&#xff0c;您可以在发布服务时直接勾选ArcGIS REST地图服务&#xff0c;如下图所示&#xff1a; 也可以在已发布的地图服务中&#x…
阅读更多...
【量化金融】证券投资学

【量化金融】证券投资学

韭菜的自我修养 第一章&#xff1a; 基本框架和概念1.1 大盘底部形成的技术条件1.2 牛市与熊市1.3 交易系统1.3.1 树懒型交易系统1.3.2 止损止损的4个技术 第二章&#xff1a;证券家族4兄弟2.1 债券&#xff08;1&#xff09;债券&#xff0c;是伟大的创新&#xff08;2&#x…
阅读更多...
赛宁综合安全验证评估，筑牢关基网络安全屏障

赛宁综合安全验证评估，筑牢关基网络安全屏障

在国际复杂态势和数字经济发展的驱动下&#xff0c;关键信息基础设施&#xff08;以下简称&#xff1a;关基&#xff09;的安全运营逐步走向实战化、体系化和常态化。验证评估作为安全运营的试金石&#xff0c;已成为实现动态防御、主动防御的有力手段。如何通过体系化验证评估…
阅读更多...
Flutter 三: Dart

Flutter 三: Dart

1 数据类型 数字(number) int double 字符串转换成 num int.parse(“1”) double.parse(“1”);double 四舍五入保留两位小数 toStringAsFixed(2) 返回值为stringdouble 直接舍弃小数点后几位的数据 可使用字符串截取的方式 字符串(string) 单引号 双引号 三引号三引号 可以输…
阅读更多...
云计算与大数据之间的羁绊（期末不挂科版）：云计算 | 大数据 | Hadoop | HDFS | MapReduce | Hive | Spark

云计算与大数据之间的羁绊（期末不挂科版）：云计算 | 大数据 | Hadoop | HDFS | MapReduce | Hive | Spark

文章目录 前言&#xff1a;一、云计算1.1 云计算的基本思想1.2 云计算概述——什么是云计算&#xff1f;1.3 云计算的基本特征1.4 云计算的部署模式1.5 云服务1.6 云计算的关键技术——虚拟化技术1.6.1 虚拟化的好处1.6.2 虚拟化技术的应用——12306使用阿里云避免了高峰期的崩…
阅读更多...
Unity 人物方向旋转详细讲解

Unity 人物方向旋转详细讲解

Unity 人物方向旋转详细讲解 人物的旋转有很多种一、在介绍之前我们需要理解Unity的向量也就是Vector3二、下面我们创建两个小球f1,f2左边的为f2 右边的为f1 三、我们将小球坐标用白色直线画出来&#xff0c;两个小球之间用黑色线画出来&#xff0c;两个小球的向量用黄线表示接…
阅读更多...
关于JVM的垃圾回收GC的一些记录

关于JVM的垃圾回收GC的一些记录

目录 一、JVM内存区域划分 二、从一个基本问题开始引入垃圾回收 三、GC作用的区域 三、如何确定一个对象是否可以被当成垃圾进行回收 &#xff08;1&#xff09;引用计数法 &#xff08;2&#xff09;可达性分析算法 &#xff08;3&#xff09;引用的类型 &#xff08;3…
阅读更多...
(Matlab)基于CNN-LSTM的多维时序回归预测(卷积神经网络-长短期记忆网络)

(Matlab)基于CNN-LSTM的多维时序回归预测(卷积神经网络-长短期记忆网络)

目录 一、程序及算法内容介绍&#xff1a; 基本内容&#xff1a; 亮点与优势&#xff1a; 二、代码实际运行结果展示&#xff1a; 三、部分代码展示&#xff1a; 四、本文完整代码数据下载&#xff1a; 一、程序及算法内容介绍&#xff1a; 基本内容&#xff1a; 本代码…
阅读更多...
【Kubernetes】控制器Statefulset

【Kubernetes】控制器Statefulset

Statefulset控制器 一、概念二、Statefulset资源清单文件编写技巧2.1、查看定义Statefulset资源需要的字段2.2、查看statefulset.spec字段如何定义2.3、查看statefulset的spec.template字段如何定义 三、Statefulset使用案例&#xff1a;部署web站点3.1、编写一个Statefulset资…
阅读更多...
最新文章
推荐文章

Copyright @ 2022~2023