什么是 OAuth 2.0
根据 oauth.net 的描述,我们可以将它简述为以下内容:OAuth 2.0 是 OAuth 1.0 框架协议的升级版本,简化了多种平台上身份及授权认证的流程。
OAuth 2.0 的用途
OAuth 2.0 的主要用途大概有以下几种:
- 账号接入:降低用户登录的成本、降低一定的账号风险
- 资源访问:以身份权限为手段保护资源处理的有效性、合法性和安全性
OAuth 2.0 的一般流程
- 客户端(如 Web Service)因某些业务需要,以一定的方式向用户(即资源所有者) 请求授权
- 用户同意了授权请求,并给予客户端一定的“信物”(如授权码)
- 客户端用这个“信物”与授权服务器沟通,请求资源访问的权限
- 授权服务器验证该请求,发放资源访问令牌
- 客户端通过这个令牌,来试图向资源服务器访问某些资源
- 资源服务器验证令牌的有效性和权限范围,发放资源
获得 OAuth 2.0 授权的模式(Grant Type)
获得 OAuth 2.0 的授权的模式主要有四种:
- 授权码授权(Authorization Code Grant):一般比较多的应用于 Web Server 或其他可以内置调用浏览器的应用,一般通过浏览器的不断重定向来具体实现整个认证授权过程。绝大多数授权平台都支持该方式
- 隐式授权(Implicit Grant):一般多用于桌面应用、手机应用。较授权码授权而言,安全性稍有下降,身份令牌有被他人截取的危险。
- 密码凭证授权(Resource Owner Password Credentials Grant)
- 客户端凭证授权(Client Credentials Grant)
当然,除了这四种主要的,还有一种 SAML Bearer 于今年 5月 通过 IETF RFC 7522 标准
OAuth 2.0 访问令牌的种类(Token Type)
目前而言, OAuth 2.0 的令牌类型主要有两种:
- 不记名式(Bearer Token):一般都要实现这种
- 消息认证式(Message Authentication Code Token)
不记名式令牌
不记名式的访问令牌一般是指不用做什么,客户端获得的令牌什么样,传给资源服务器时就是什么样。
访问资源时,通常有以下几种形式:
- 将令牌放在 请求头 Authorization 中,并命名为 Bearer。即 Authorization: Bearer ****(注意空格)。
- 以access_token=****形式放在 Query String 中,以 GET 方式访问
- 将access_token=****放在请求体中,以 application/x-www-form-urlencoded 形式(通常是 POST) 访问
消息认证式令牌
消息认证式的访问令牌通常是以一定的加密算法对一些参数加密。加密过程通常是将 HmacSHA1 和 HmacSHA256 加密后的结果Base64化,再根据一定的规则填充到请求头 Authorization 中,并将其命名为 MAC。如 Authorization: MAC id="h480djs93hd8",nonce="274312:dj83hs9s",mac="kDZvddkndxvhGRXZhvuDjEWhGeE=",具体规则视平台的不同而不同
更安全的 OAuth 2.0
虽然本身 OAuth 2.0 也是较为安全的,但难免会为了便利性,相对牺牲了部分安全性,有关 OAuth 2.0 的安全防护可参考 RFC 6819。
本文参考资料
译
时间: 2024-11-01 00:47:05