一、OAuth 概念 开放授权（OAuth）是一个开放标准，允许用户让第三方应用访问该用户在某一网站上存储的私密的资源（如照片，视频，联系人列表），而无需将用户名和密码提供给第三方应用。...—— 维基百科 严格来说，OAuth2 不是一个标准协议，而是一个安全的授权框架。其详细描述系统中不同角色，用户，服务前端应用（如 API ）以及客户端（如网站或APP）之间如何实现相互认证。...四、OAuth2 四种授权模式 通过前面描述，可以知道OAuth 的核心就是向第三方应用颁发令牌。 OAuth 2.0 规定了四种获得令牌的流程。你可以选择最适合自己的那一种，向第三方应用颁发令牌。...这是为了防止令牌被滥用，没有备案过的第三方应用，是不会拿到令牌的。 1. 授权码（authorization code） 即第三方应用先申请一个授权码，然后再用该码获取令牌。...适用于有后端的 Web 应用，授权码通过前端传送，令牌则是储存在后端，而且所有与资源服务器的通信都在后端完成。这样的前后端分离，可以避免令牌泄漏。 这种方式也是最常用的流程，安全性最高。
Cover-OAuth2.png ## 一、OAuth 概念 > 开放授权（OAuth）是一个开放标准，允许用户让第三方应用访问该用户在某一网站上存储的私密的资源（如照片，视频，联系人列表），而无需将用户名和密码提供给第三方应用...—— 维基百科 严格来说，OAuth2 不是一个标准协议，而**是一个安全的授权框架**。...## 四、OAuth2 四种授权模式 通过前面描述，可以知道**OAuth 的核心就是向第三方应用颁发令牌。** OAuth 2.0 规定了四种获得令牌的流程。...这是为了防止令牌被滥用，没有备案过的第三方应用，是不会拿到令牌的。 ### 1. 授权码（authorization code） 即**第三方应用先申请一个授权码，然后再用该码获取令牌**。...适用于**有后端的 Web 应用**，授权码通过前端传送，**令牌则是储存在后端**，而且所有与资源服务器的通信都在后端完成。这样的前后端分离，可以避免令牌泄漏。
也就是说，OAuth 2.0 规定了四种获得令牌的流程。你可以选择最适合自己的那一种，向第三方应用颁发令牌。下面就是这四种授权方式。...这是为了防止令牌被滥用，没有备案过的第三方应用，是不会拿到令牌的。...第一种授权方式：授权码 授权码（authorization code）方式，指的是第三方应用先申请一个授权码，然后再用该码获取令牌。...这种方式是最常用的流程，安全性也最高，它适用于那些有后端的 Web 应用。授权码通过前端传送，令牌则是储存在后端，而且所有与资源服务器的通信都在后端完成。这样的前后端分离，可以避免令牌泄漏。...下一篇文章会编写一个真实的 Demo，演示如何通过 OAuth 2.0 向 GitHub 的 API 申请令牌，然后再用令牌获取数据。
（图片来自网络） 如图，这是一种采用基于令牌Token的授权方式。...例如：你开发了一个视频网站，可以采用第三方微信登陆，那么只要用户在微信上对这个网站授权了，那这个网站就可以在无需用户密码的情况下获取用户在微信上的头像。 OAuth2.0 的流程如下图： ?...这也是目前最为常用的一种模式，安全性比较高，适用于我们常用的前后端分离项目。通过前端跳转的方式去访问 授权服务器 获取授权码，然后后端再用这个授权码访问 授权服务器 以获取 访问令牌。 ?...，客户端的后端服务(图中Client)携带授权码(Authorization Code)去访问 授权服务器，然后获得正式的 访问令牌(Access Token) 页面的前端和后端分别做不同的逻辑，前端接触不到...简化式（Implicit） 简化模式是在项目是一个纯前端应用，在没有后端的情况下，采用的一种模式。 因为这种方式令牌是直接存在前端的，所以非常不安全，因此令牌的有限期设置就不能太长。 ?
前言 开发授权(OAuth2)是一个开放标准，允许用户让第三方应用访问该用户在某一网站上存储的私密的资料(如照片、视频、联系人列表)，而无需将用户名和密码提供给第三方应用。...OAuth2允许用户提供一个令牌，而不是用户名和密码来访问他们存放在特定服务提供者的数据。...这种方式是最常用的流程，安全性也最高，它适用于那些有后端的 Web 应用。授权码通过前端传送，令牌则是储存在后端，而且所有与资源服务器的通信都在后端完成。这样的前后端分离，可以避免令牌泄漏。...隐藏式(implicit) 有些 Web 应用是纯前端应用，没有后端。这时就不能用上面的方式了，必须将令牌储存在前端。RFC 6749 就规定了第二种方式，允许直接向前端颁发令牌。...授权码模式（显式授权）开发期待中 在 云开发平台 应用云 API 密钥后，开发人员可以基于涂鸦 API 接口规范调用涂鸦开放接口，以获取授权下的资源数据。
为了解决这个问题，当时一些开发人员尝试发明一种协议，可以允许用户对API访问授权。期望的是让第三方应用只要获得用户的授权并得的一个访问令牌，就能使用这个令牌来访问API。...Oauth组件间的通信包括前端通信和后端通信，前端通信就是组件之间的需要交互的信息数据在浏览器里面流转，后端通信就是组件之间需要交互的数据信息通过WEB SERVER之间流转。...实际上只有标准场景下的Oauth2流程才会既使用前端通信又使用后端通信，这点在介绍非标准场景下的Oauth使用的时候也会去分析，大家先记下来。...实际上这个授权是让第三方小程序能够获取到微信APP里面的功能以及手机本身的功能，比如拍照、录音等。如果是需要发起HTTP请求调用的API是需要通过上文说的客户端凭据的方式。...总结 开放平台的基础技术需要 “两条腿” 能够跑起来，这两条腿分别是网关和Oauth。网关可以让内部的API被外部调用，Oauth可以保护这些被调用的API。Oauth是一种协议，也是一种工具。
页面跳转到掘金前端页面并附带上授权码 掘金前端用授权码请求掘金后端 掘金后端调用微信的OpenApi请求访问令牌 微信授权服务校验授权码及掘金的请求信息，并响应访问令牌 掘金后端拿到访问令牌，并通过访问令牌获取用户信息...第十点（访问令牌） 微信根据上述三个参数，校验第三方是否存在，appSecret是否正确，授权码是否正确来生成访问令牌。...只不过大家要注意的是，OAuth2和JWT其实并没有绝对依赖的关系，不要一开始就把二者混为一谈，否则后续很容易让自己云里雾里。 其实很多人不理解，为什么要弄一个授权码还弄一个访问令牌呢？...而如果有刷新令牌，那么第三方软件可以再访问令牌过期前，在后端静默的申请一个新的访问令牌，而整个流程是用户无感知的。...隐式许可（简单类型） 这种类型其实应用的非常少，主要是用于第三方软件只有前端，没有后端的情况。因为只有前端，所以第三方软件直接嵌入浏览器中，通过浏览器与授权服务交互。
微服务架构中，业务系统不是个业务逻辑概念，一个业务系统由一个或多个应用（微服务）组成。 网关 即API Gateway 是客户端访问应用的入口，后端应用的API门户。...微服务架构中Web应用一般采用前后端分离的模式，前端为基于浏览器访问的纯前端应用，网关作为应用程序的入口，此时网关本身可以代表OAuth中的客户端身份访问服务提供端应用的功能接口。...本场景以微服务架构中常见的前后端分离Web应用作为示例，前端是单页应用，网关作为Web后台是服务提供端应用功能入口，也可作为OAuth2.0的客户端，让前端Web应用能借助网关实现授权码交换。...为了避免用户、客户端凭证泄漏第三方(除IAM、访问者之外为第三方)，身份认证类API或UI建议由IAM系统直接开放给访问者调用进行身份认证。...2.访问授权 通过认证的API客户端能够访问网关开发的所有API吗？通过认证的用户能够调用所有API吗？通过认证的用户允许调用修改订单的接口，那么他能修改所有人的订单吗？
这种模式下，一旦后端进行修改，前端就可能需要跟着变动，增加了开发和维护的复杂性。 而在前后端分离的架构中，前端和后端各自独立开发和运行，两者之间通过定义好的API进行数据交互。...三、了解 OAuth 2 框架 OAuth 2.0是一个开放标准，它允许用户授权第三方移动和网页应用以代表自己访问和操作存储在其他服务提供商上的数据，而无需分享凭据（例如用户名和密码）。...OAuth 2.0是一个授权框架，允许第三方应用在所有者的许可下访问其资源，而无需向第三方应用公开用户的身份凭据。 OAuth 2.0定义了四种授权方式，即授权码模式，简化模式，密码模式和客户端模式。...如果需要用户明确授权第三方应用访问其数据，授权服务器负责生成并展示这个授权界面，让用户能够理解并决定是否授权。 一旦客户端的请求被批准，授权服务器会发放访问令牌给客户端。...所以，在 OAuth2.0 授权流程中，资源服务器负责保护用户资源，并在适当的授权下，将这些资源提供给第三方应用。
3、OAuth 授权流程 这是 个大致的流程，因为 OAuth2 中有 种不同的授权模式，每种授权模式的授权流程又会有差异，基本流程如下： 客户端（第三方应用）向资源所有者请求授权。...4.1、授权码 授权码（authorization code）方式，指的是第三方应用先申请一个授权码，然后再用该码获取令牌。 这种方式是最常用的流程，安全性也最高，它适用于那些有后端的 Web 应用。...授权码通过前端传送，令牌则是储存在后端，而且所有与资源服务器的通信都在后端完成。这样的前后端分离，可以避免令牌泄漏。...4.2、隐藏式 有些 Web 应用是纯前端应用，没有后端。这时就不能用上面的方式了，必须将令牌储存在前端。RFC 6749 就规定了第二种方式，允许直接向前端颁发令牌。...第二步，B 网站验证通过以后，直接返回令牌。 这种方式给出的令牌，是针对第三方应用的，而不是针对用户的，即有可能多个用户共享同一个令牌。
API以便接收第三方软件的访问请求。...Oauth组件间的通信包括前端通信和后端通信，前端通信就是组件之间的需要交互的信息数据在浏览器里面流转，后端通信就是组件之间需要交互的数据信息通过WEB SERVER之间流转。...实际上只有标准场景下的Oauth2流程才会既使用前端通信又使用后端通信，这点在介绍非标准场景下的Oauth使用的时候也会去分析，大家先记下来。...2.2、第三方软件和资源服务之间的通信 在第三方软件获取到访问令牌之后通过WEB API的方式请求资源服务器，来访问资源所有者的数据。...实现这个目的可以让两个服务共享一个数据存储，也可以让授权服务器提供一个RPC接口供资源服务器来调用。交互通信如下图所示。 ?
授权码通过前端传送，令牌则是储存在后端，而且所有与资源服务器的通信都在后端完成。这样的前后端分离，可以避免令牌泄漏。...: https://a.com/callback#token=ACCESS_TOKEN 注意，令牌的位置是 URL 锚点（fragment），而不是查询字符串（querystring），这是因为 OAuth...B网站验证通过后，直接返回令牌。这种方式给出的令牌，是针对第三方应用的，而不是针对用户的，即有可能多个用户共享同一个令牌。 6....令牌的使用 A网站拿到令牌后，就可以携带令牌通过B网站的api接口向B网站的API请求数据了。具体做法是在请求的头信息，加上一个Authorization字段，令牌就放在这个字段里面。...更新令牌 用于更新accessToken的，令牌的有效期到了，如果让用户重新走一遍上面的流程，再申请一个新的令牌，很可能体验不好，而且也没有必要。OAuth 2.0 允许用户自动更新令牌。
OAuth 2.0 允许用户授权第三方应用访问他们在另一个服务提供方上的数据，而无需分享他们的凭据（如用户名、密码）。 2....如果验证成功，认证服务器将访问令牌返回给客户端应用。 4. 客户端模式（Client Credentials） 客户端模式主要用于没有用户参与的后端服务（如开放API的场景）。...为了防止这种情况，刷新令牌应该只在后端服务中使用，不应该暴露给前端应用。此外，刷新令牌也应该在所有传输和存储过程中进行加密保护。...为了防止CSRF攻击，OAuth 2.0的授权请求可以包含一个state参数，这是一个随机生成的字符串，用于在授权服务器重定向回客户端时验证请求的合法性。...这不仅提高了用户体验，也降低了用户忘记密码的风险。 2. 使用OAuth 2.0进行API授权 OAuth 2.0也常用于API授权。
OAuth 2.0 是一个授权协议，它引入了一个授权层以便区分出两种不同的角色：资源的所有者和客户端，客户端从资源服务器处获得的令牌可替代资源所有者的凭证来访问被保护的资源。...OAuth 2.0 的实质就是客户端从第三方应用中获得令牌，它规定了4种获得令牌的方式： ◎授权码（Authorization Code）方式； ◎隐藏式（Implicit）； ◎密码式（Password...授权码方式指第三方应用先获取一个授权码，然后使用该授权码换取令牌。这是最常见的流程，安全性也最高，适合同时具有前端和后端的应用，授权码被传递给前端，令牌则被存储在后端。...（本文为公众号：亨利笔记 原创文章） 隐藏式适合只有前端没有后端的应用，因为在前端保留授权码不安全，所以这种方式跳过了授权码这个步骤，由 OAuth 2.0 授权层直接向前端颁发令牌。...客户端凭证方式适用于应用的客户端获取令牌，使用的是应用的客户端ID和密码，与用户的凭证无关，适合客户端调用第三方的API服务。
，是一个消费者，包括前端 demo-h5 和后端 demo- service。...有人说 OAuth 2.0 规范提出的 PKCE（Proof Key for Code Exchange by OAuth Public Clients）协议可以解决这个问题，这是一个错误的观点，PKCE...打个比方，微服务架构下的 B2C 商城系统，基本组成有前端 H5、无线端 APP、API 网关、认证授权服务、订单服务、商品服务等，由于上述所有组成部分都同属于一套 OAuth2 体系，且都由相同团队开发...这样就以网关为边界，划分出了内部服务和外部服务，这就是所说的相对概念。 那么，电商系统的前端 H5、无线端 APP 在认证和授权阶段，采用授权码模式和采用密码模式，有什么差别吗？...授权码模式有一层用户确认授权的动作，从而避免泄露用户名和密码给第三方应用，除此之外，两者之间几乎提供了相同的安全流程。这里所指的第三方应用不正是前端 H5 和无线端 APP 吗？
为保护这种场景下的 API，OAuth 2.0 提供了资源拥有者凭据许可类型。 资源拥有者的凭据，即用户的凭据：用户名和密码。这么简陋方案，咋敢用的？...但若每次xx都拿我的用户名和密码来通过调用 API 访问我号里的文章数据，甚至其他敏感信息，无疑增加用户名和密码被攻击风险。...2 客户端凭据许可 若无明确资源拥有者，即xx访问了一个无需用户me授权的数据，比如 获取公众号LOGO的地址，该数据不属任何第三方用户 三方软件访问平台提供的省份信息，省份信息也不属任何一个第三方用户...授权过程没有资源拥有者me的参与，小兔软件的后端服务可随时发access_token请求，所以无需刷新令牌。...隐式许可是唯一在前端通信中要求返回access_token的流程。 ? 生成acccess_token的值，通过前端通信返回给第三方软件小兔。 ? 授权类型的选型 ?
1.引言 1.1 实际遇到的问题 在之前一个单体web系统中，采用的是前后端分离，前端是Vue 2.0，后端使用的ASP.NET Web Api 2.0提供后台服务，登录模块采用了JWT(JSON WEB...那时会遇到一个问题，前端并没有mock开发，而是连接后端测试环境开发，前端在开发调试时，后端同步发布最新接口，再加上IIS老版本发布web服务，会有一个初次访问非常慢的问题，这时前端就会炸锅，“后端挂了...第三方应用程序需要知道当前操作的用户身份，就需要身份验证，这时OAuth协议应运而生，OAuth2.0引入了一个授权层，分离两种不同的角色： 客户端 资源所有者（用户） 只有用户同意以后，服务器才能向客户端颁发令牌...-client credentials 不管哪一种授权方式，第三方应用申请令牌之前，都需要像微信公众号开发那样，必须先到系统备案，说明自己的身份，然后会拿到两个身份识别码：客户端 ID（client ID...这是为了防止令牌被滥用，没有备案过的第三方应用，是不会也不可能拿到令牌的。
领取专属 10元无门槛券
手把手带您无忧上云
云服务器
即时通信 IM
ICP备案
对象存储
实时音视频
