OAuth是什么？

OAuth是什么一、核心定义它是什么不是什么OAuth 是什么OAuth 2.0是一个开放的授权框架RFC 6749。它的核心作用是在不暴露用户密码给第三方应用的情况下授权该应用访问用户在另一个服务提供商上的特定资源。关键词授权Authorization。它解决的是“能做什么”的问题。核心场景你用微信登录一个论坛论坛是第三方应用并授权论坛获取你的微信头像和昵称。在这个过程中你没有把微信密码告诉论坛论坛却通过微信服务提供商拿到了你的信息。这就是 OAuth 的典型应用。OAuth 不是什么它不是认证协议Authentication Protocol。OAuth 本身不负责证明“用户是谁”认证它只负责“用户同意授予某些权限”授权。然而由于其授权流程天然包含了用户同意环节它常被用作构建单点登录SSO系统的基础。为了实现完整的认证业界通常使用基于 OAuth 2.0 扩展的OpenID Connect协议。它不是万能的安全解决方案。OAuth 提供了授权流程但实现的安全性取决于开发者是否正确遵循最佳实践如使用 HTTPS、安全存储令牌等。二、一个生动的比喻公寓门禁钥匙链想象一个高级公寓服务提供商如微信你资源所有者是业主拥有主钥匙密码可以进入所有房间资源如头像、好友列表。现在一个送餐员第三方应用如论坛需要进入大厅特定资源如你的公开信息把外卖给你。传统危险方式你把主钥匙密码复制一份给送餐员。风险极大他可以进入你的卧室、打开你的保险柜。OAuth 方式送餐员向公寓前台授权服务器申请一个“临时通行证”。前台要求你本人亲自到场确认“是否允许这个送餐员进入大厅限时1小时”。你同意后前台发放一个限时、限区域的电子门禁卡访问令牌 Access Token给送餐员。送餐员用这张电子门禁卡刷卡进入大厅完成送餐。他无法去其他区域一小时后门禁卡自动失效。这个过程中你的主钥匙密码从未离开过你手全程安全可控。三、核心角色与核心概念四大角色资源所有者 拥有受保护资源的实体通常是最终用户。客户端 想要访问资源的第三方应用如论坛、手机App。资源服务器 存储受保护资源的服务器如存放微信用户数据的API服务器。授权服务器 在认证资源所有者并获得其授权后向客户端颁发访问令牌的服务器。常与资源服务器属于同一服务商如都属于腾讯。两个核心令牌访问令牌 一个字符串代表授予客户端的权限。客户端用它来向资源服务器请求数据。它是有作用域和有效期的。刷新令牌可选但常见当访问令牌过期时客户端可以用刷新令牌向授权服务器申请一个新的访问令牌而无需用户再次授权。这提供了更好的用户体验但需要更安全的存储。一个关键概念授权许可授权许可是一个代表资源所有者授权的凭证客户端用它来获取访问令牌。根据场景不同有不同类型的授权许可对应 OAuth 的四种授权流程。四、四种授权流程OAuth 2.0 定义了四种“授权许可”类型以适应不同的客户端类型和安全要求。授权码模式最常用、最安全的模式适用于有后端服务器的Web应用。流程用户点击“用微信登录”被重定向到微信授权页面。用户在微信页面输入账号密码登录并同意授权。微信将用户重定向回第三方应用的后端服务器并附带一个授权码。第三方应用的后端用授权码自己的应用密钥向微信后台交换访问令牌。关键敏感的访问令牌始终在后台传输不暴露给前端浏览器非常安全。适用 大多数网站、移动App如果配合PKCE扩展。隐式模式简化模式适用于纯前端单页应用无后端服务器。流程 与授权码模式类似但授权服务器直接在前端重定向URI的片段中返回访问令牌。关键 访问令牌暴露在浏览器URL和前端JavaScript中安全性较低易被截获。已被OAuth 2.1草案废弃推荐使用带PKCE的授权码模式替代。密码模式资源所有者密码凭证模式。用户直接将用户名和密码交给客户端应用客户端应用用它去换取令牌。关键仅适用于高度信任的客户端例如同一个公司开发的官方移动App。因为用户需要把密码交给第三方违背了OAuth“不分享密码”的初衷。一般不建议使用。客户端凭证模式机器对机器的授权不涉及用户。场景 一个后台服务需要访问另一个服务的API来同步数据。流程 客户端应用直接用自己的身份客户端ID和密钥向授权服务器申请一个代表“应用自身”而非某个用户的访问令牌。关键 用于访问受保护的、不属于特定用户的资源如公共API。五、典型交互流程图以授权码模式为例用户访问 第三方应用点击“用微信登录”重定向到微信授权页面用户在微信登录并授权微信重定向回应用附带授权码应用后端用授权码密钥向微信请求访问令牌微信返回访问令牌应用用访问令牌调用微信API获取用户数据完成登录/获取资源六、OAuth 与 OpenID Connect这是最容易混淆的一点。OAuth 2.0授权框架- “这个应用可以获取我的微信好友列表吗”OpenID Connect 在 OAuth 2.0 之上构建的认证层。它增加了一个重要的东西ID Token。ID Token是一个遵循 JWT 标准的令牌里面包含了用户的身份信息如用户ID、姓名等。OIDC 流程 在标准的 OAuth 授权码流程中除了返回访问令牌还会返回一个ID Token。客户端可以通过解析 ID Token 来可靠地认证用户的身份。结论 现在常说的“用第三方登录”底层技术通常是OAuth 2.0 OpenID Connect。OAuth 负责授权获取资源的权限OIDC 负责告知客户端“用户是谁”。七、安全考虑与最佳实践永远使用 HTTPS 防止令牌在传输中被窃听。妥善存储令牌 访问令牌应存放在安全的地方服务器内存、安全存储避免前端 localStorage 存储敏感令牌。使用范围最小的授权 只请求应用真正需要的权限作用域。验证重定向 URI 授权服务器必须严格验证客户端注册的重定向URI防止令牌被发送到恶意网站。使用 PKCE 对于移动应用和单页应用即使使用授权码模式也应加上 PKCE 扩展防止授权码被拦截后冒用。定期轮换密钥 客户端应定期更换其客户端密钥。总结OAuth 是现代互联网授权领域的基石。它通过令牌机制优雅地解决了“安全授权第三方应用”的难题彻底改变了应用间集成的模式。理解 OAuth关键在于区分授权 vs 认证掌握其四大角色、两种令牌并熟悉授权码模式这一最核心的流程。在实际应用中它与OpenID Connect的结合构成了当今“社交登录”和“单点登录”的事实标准。