OAuth 2.0

简介

第三方认证解决方案。用来获取令牌和使用令牌的协议，本身不处理用户信息。用来授权第三方应用，获取用户数据，而不需要将用户名、密码提供给第三方。

场景

第三方客户端访问用户的资源，需要向用户申请授权。用户同意后，资源给第三方客户端令牌（access token）。令牌的权限范围、有效期可控。

角色Roles

Resource Owner: User
资源resource的拥有者，授权给第三方应用来访问。这种授权有限制。
Resource Server/Authorization Server: API
资源服务器保存用户资源。授权服务器验证用户。
Client: Application
第三方应用。

协议示意

整体流程

The application requests authorization to access service resources from the user
If the user authorized the request, the application receives an authorization grant
The application requests an access token from the authorization server (API) by presenting authentication of its own identity, and the authorization grant
If the application identity is authenticated and the authorization grant is valid, the authorization server (API) issues an access token to the application. Authorization is complete.
The application requests the resource from the resource server (API) and presents the access token for authentication
If the access token is valid, the resource server (API) serves the resource to the application

第三方管理

在资源系统（Authorization Server）申请注册，会生成客户端凭证：客户端标识符（client identifier/client ID）、客户端秘钥（client secret）。

授权方式

一、授权码模式（authorization code）

含义：第三方客户端先申请一个授权码，然后再用该码获取令牌。
特点：功能最完善、流程最严密。通过客户端的后台服务器与服务提供商的认证服务器进行互动。授权码前端传送，令牌的存储和通信都在后端。
流程示意

步骤
1.B提供一个授权请求链接(A的授权接口拼接参数)，用户点击后会跳转到A。(toA:response_type=code, client_id, redirect_uri, scope=read)
2.跳转到A后，要求用户登录A，并且询问提示用户授权数据给B使用。若用户同意，跳转会指定地址且传回一个授权码。(jump to redirect_uri?code=AUTHORIZATION_CODE)
3.B拿到授权码后，在后端向A请求令牌。(toA: client_id、client_secret、grant_type=AUTHORIZATION_CODE、code、redirect_uri)
4.收到请求后颁发令牌。向redirect_uri发送数据，其中包含令牌。（jump to redirect_uri）。返回数据（access_token, token_type, expires, refresh_token, scope）。

二、隐式模式（implicit）

含义：允许直接向前端颁发令牌，没有授权码步骤。
特点：纯前端应用，无后端。
流程示意

步骤
1.B提供一个链接，用户点击后跳转到A。(response_type=token, client_id, redirect_uri, scop)
2.跳转到A后，要求用户登录，并且询问提示用户授权数据给B使用。用户同意，将令牌传回。（redirect_uri, token=ACCESS_TOKEN）
令牌位置是url锚点（fragment, #）不会发送到服务器。
3.应用获取到token后，请求时带上。

三、密码模式（resource owner password credentials）

含义：高度信任，允许把用户名和密码告诉第三方应用，用来申请令牌。
特点：用户高度信任的引用。
步骤
1.A要求用户提供B的用户名和密码。拿到后向B请求令牌。（grant_type=password, username, password, client_id）
2.B验证身份通过后，直接给出令牌。放在json数据中返回。

四、客户端模式（client credentials）

含义：获取第三方服务自己的数据（非用户数据）。
特点：后端/命令行申请。
步骤
1.B在命令行向A发出请求。（grant_type=client_credentials, clent_id, client_secret）
2.A验证通过后，返回令牌。

令牌的使用

B拿到令牌后，就可以向A请求数据。在每个发出的api请求，都需要带有令牌。
请求HEADER头信息增加 Authorization 字段。

自动更新令牌

A颁发令牌时，下发两个令牌，一个用户获取数据，一个用于获取新的令牌。
刷新令牌（grant_type=refresh_token, client_id, cliient_secret, refresh_token=REFERSH_TOKEN）

source:
https://www.ruanyifeng.com/bl...
http://www.ruanyifeng.com/blo...
https://www.digitalocean.com/...