OAuth 2 的授权流程-软件工程课程教学网

返回
顶部

修改密码

* 旧密码：

* 新密码：

* 确认新密码：

首页 > 知识摘要 > 开发技术 > 正文

OAuth 2 的授权流程

2023-09-18 15:42:26

来源：本站编辑

阅读量：

### [#](#授权流程) 授权流程即代表授权客户端访问本身资源信息的用户（User）[#](#oauth-2-的授权流程) OAuth 2 的授权流程* (B) **用户**同意给予**客户端**授权* (F) **资源服务器**确认令牌无误* (C) **客户端**使用上一步获得的授权你（用户A）想通过 Github（第三方C）登录网站B（OSChina）**客户端**要求**用户**给予授权* `Authorization Server` 授权服务器* `Reso

[#](#关于oauth) 关于OAuth
---------------------

请先查阅以下资料：

*   [The OAuth 2.0 Authorization Framework (opens new window)](https://tools.ietf.org/html/rfc6749)
*   [OAuth 2.0 (opens new window)](https://oauth.net/2/)

[#](#oauth-2-的授权流程) OAuth 2 的授权流程
---------------------------------

### [#](#参与的角色) 参与的角色

*   `Resource Owner` 资源所有者，即代表授权客户端访问本身资源信息的用户（User），也就是应用场景中的“**开发者A**”
*   `Resource Server` 资源服务器，托管受保护的**用户账号信息**，比如Github
*   `Authorization Server` 授权服务器，**验证用户身份**然后为客户端派发资源访问令牌，比如Github
    *   `Resource Server`和`Authorization Server` 可以是同一台服务器，也可以是不同的服务器，视具体的授权平台而有所差异
*   `Client` 客户端，即代表意图访问受限资源的**第三方应用**

### [#](#授权流程) 授权流程

+--------+                               +---------------+
         |        |--(A)- Authorization Request ->|   Resource    |
         |        |                               |     Owner     |
         |        |<-(B)-- Authorization Grant ---|               |
         |        |                               +---------------+
         |        |
         |        |                               +---------------+
         |        |--(C)-- Authorization Grant -->| Authorization |
         | Client |                               |     Server    |
         |        |<-(D)----- Access Token -------|               |
         |        |                               +---------------+
         |        |
         |        |                               +---------------+
         |        |--(E)----- Access Token ------>|    Resource   |
         |        |                               |     Server    |
         |        |<-(F)--- Protected Resource ---|               |
         +--------+                               +---------------+
上面的流程图取自[The OAuth 2.0 Authorization Framework#1.2 (opens new window)](https://tools.ietf.org/html/rfc6749#section-1.2)

**流程解析**

*   (A) 用户打开**客户端**以后，**客户端**要求**用户**给予授权。
*   (B) **用户**同意给予**客户端**授权。
*   (C) **客户端**使用上一步获得的授权，向**认证服务器**申请令牌。
*   (D) **认证服务器**对**客户端**进行认证以后，确认无误，同意发放令牌
*   (E) **客户端**使用令牌，向**资源服务器**申请获取资源。
*   (F) **资源服务器**确认令牌无误，同意向**客户端**开放资源。

### [#](#授权许可-authorization-grant) 授权许可 `Authorization Grant`

*   Authorization Code
    *   结合普通服务器端应用使用(**web**端常用的授权方式)
*   Implicit
    *   结合移动应用或 Web App 使用
*   Resource Owner Password Credentials
    *   适用于受信任客户端应用，例如同个组织的内部或外部应用
*   Client Credentials
    *   适用于客户端调用主服务API型应用（比如百度API Store）

-----------------------------------
以上流程理解起来可能有些难度，这儿我们给出一个白话版的流程图
首先引入三个角色：
*   用户A：可以理解成你自己
*   网站B：可以理解成 OSChina
*   第三方C：可以理解成 Github

需求：你（用户A）想通过 Github（第三方C） 登录网站B（OSChina）。
💡注：**下面的内容为流程图，如果您在阅读的时候显示为纯文字，请尝试刷新页面，直到显示正常**
![直白话-oauth-2-流程](/u/cms/www/202308/03113848gz2j.png "直白话-oauth-2-流程")

上一篇： SpringCloudRocketMQ

下一篇： Redis与MySQL双写一...

已有0条评论

0/150

提交

热门评论

查看更多评论

目 录

目录