用户通过重定向 URL 返回到应用程序后，应用程序将从该 URL 中获取授权代码并使用它来请求访问令牌。此请求将发送到令牌端点。 请求参数 访问令牌请求将包含以下参数。...请求参数 访问令牌请求将包含以下参数。 grant_type(required) – 该grant_type参数必须设置为“password”。 username（必填）– 用户的用户名。...请求参数 grant_type（必需的） 该grant_type参数必须设置为client_credentials。 scope（选修的） 您的服务可以支持客户端凭据授予的不同范围。...带有访问令牌的响应应包含以下属性： access_token（必需）授权服务器颁发的访问令牌字符串。 token_type（必需）这是令牌的类型，通常只是字符串“Bearer”。...invalid_scope– 对于包含范围（密码或 client_credentials 授权）的访问令牌请求，此错误表示请求中的范围值无效。
请求参数说明： 名称 是否必须 描述信息 grant_type 必须 对于授权码模式 grant_type=authorization_code code 必须 上一步骤获取的授权码 redirect_uri...A步骤 中，客户端发出的HTTP请求，包含以下参数： response_type：表示授权类型，此处的值固定为”token”，必选项。 client_id：表示客户端的ID，必选项。...state：如果客户端的请求中包含这个参数，认证服务器的回应也必须一模一样包含这个参数。...B步骤中，客户端发出的HTTP请求，包含以下参数： grant_type：表示授权类型，此处的值固定为”password”，必选项。 username：表示用户名，必选项。...A步骤中，客户端发出的HTTP请求，包含以下参数： granttype：表示授权类型，此处的值固定为”clientcredentials”，必选项。 scope：表示权限范围，可选项。
： code：表示授权码，必须按，该码有效期应该很短，通常10分钟，客户端只能使用一次，否则会被授权服务器拒绝，该码与客户端 ID 和 重定向 URI 是一一对应关系 state：如果客户端请求中包含着歌参数...code=SplxlOBeZQQYbYS6WxSbIA &state=xyz D步骤中，客户端向认证服务器申请令牌的HTTP请求，包含以下参数： grant_type：表示使用的授权模式，必选，此处固定值为...上述步骤中所需要的参数： A步骤中，客户端发出HTTP请求，包含以下参数： response_type：表示授权类型，此处固定值为"token"，必选 client_id：表示客户端ID，必选 redirect_uri...上述步骤中所需要的参数： B步骤中，客户端发出HTTP请求，包含以下参数： grant_type：授权类型，必选，此处固定值“password” username：表示用户名，必选 password...如果用户访问的时候，客户端“访问令牌”已经过期，则需要使用“更新令牌”申请一个新的令牌 客户端发出更新令牌请求，包含以下参数： granttype：表示授权模式，此处固定值为“refreshtoken
state：如果客户端的请求中包含这个参数，认证服务器的回应也必须一模一样包含这个参数。...code=SplxlOBeZQQYbYS6WxSbIA &state=xyz D步骤中，客户端向认证服务器申请令牌的HTTP请求，包含以下参数： grant_type：表示使用的授权模式...state：如果客户端的请求中包含这个参数，认证服务器的回应也必须一模一样包含这个参数。 下面是一个例子。...B步骤中，客户端发出的HTTP请求，包含以下参数： grant_type：表示授权类型，此处的值固定为"password"，必选项。 username：表示用户名，必选项。...客户端发出更新令牌的HTTP请求，包含以下参数： granttype：表示使用的授权模式，此处的值固定为"refreshtoken"，必选项。
用户将被重定向到授权服务器的登录页面，要求其输入其凭据并授予请求的授权。如果用户授予请求的授权，授权服务器将向用户返回授权码，该授权码可以在下一步中用于获取访问令牌。...第二步：获取访问令牌在OAuth2身份验证流程的第二步中，我们需要使用授权码获取访问令牌。访问令牌用于验证API请求。...请求的正文应该包含以下参数：grant_type=authorization_codeclient_id=client_secret=code=redirect_uri...=如果请求成功，授权服务器将向客户端返回访问令牌、刷新令牌和过期时间。...第三步：使用访问令牌进行身份验证在OAuth2身份验证流程的最后一步中，我们可以使用访问令牌进行身份验证。要使用访问令牌进行身份验证，我们需要将其包含在API请求的请求头中。
state：如果客户端的请求中包含这个参数，认证服务器的回应也必须一模一样的包含这个参数。...code=SplxlOBeZQQYbYS6WxSbIA &state=xyz D步骤中，客户端向认证服务器申请令牌的HTTP请求，包含以下参数： grant_type：表示使用的授权模式，必选项，此处的值固定为...state：如果客户端的请求中包含这个参数，认证服务器的回应也必须一模一样包含这个参数。 下面是一个例子。...B步骤中，客户端发出的HTTP请求，包含以下参数： grant_type：表示授权类型，此处的值固定为"password"，必选项。 username：表示用户名，必选项。...客户端发出更新令牌的HTTP请求，包含以下参数： granttype：表示使用的授权模式，此处的值固定为：refreshtoken，必选项 refresh_token：表示早起收到的更新令牌，必选项
授权请求参数 以下参数用于发出授权请求。您应该使用以下参数构建一个查询字符串，并将其附加到从其文档中获取的应用程序授权端点。...这必须与您之前在服务中注册的重定向 URL 相匹配。 scope （可选）包含一个或多个范围值（以空格分隔）以请求额外级别的访问权限。这些值将取决于特定的服务。...交换访问令牌的授权代码 为了交换访问令牌的授权代码，应用程序向服务的令牌端点发出 POST 请求。该请求将具有以下参数。...grant_type（必需的） 该grant_type参数必须设置为“authorization_code”。...redirect_uri（可能需要） 如果重定向 URL 包含在初始授权请求中，则它也必须包含在令牌请求中，并且必须相同。
请求参数 访问令牌请求将包含以下参数。 grant_type（必需的） 该grant_type参数必须设置为“refresh_token”。...通常这不会包含在请求中，如果省略，服务应该发出一个与之前发出的范围相同的访问令牌。 客户端身份验证（如果客户端被授予机密则需要） 通常，刷新令牌仅用于机密客户端。...如果向客户端发出了一个秘密，则客户端必须对该请求进行身份验证。...如果刷新令牌已颁发给机密客户端，则服务必须确保请求中的刷新令牌已颁发给经过身份验证的客户端。 如果一切正常，该服务可以生成访问令牌并做出响应。...服务器可能会在响应中发出新的刷新令牌，但如果响应不包含新的刷新令牌，则客户端会假定现有的刷新令牌仍然有效。 例子 以下是服务将接收的刷新授权示例。
state：如果客户端的请求中包含这个参数，认证服务器的回应也必须一模一样包含这个参数。...code=SplxlOBeZQQYbYS6WxSbIA &state=xyz D步骤中，客户端向认证服务器申请令牌的HTTP请求，包含以下参数： grant_type：表示使用的授权模式，必选项，此处的值固定为...state：如果客户端的请求中包含这个参数，认证服务器的回应也必须一模一样包含这个参数。...B步骤中，客户端发出的HTTP请求，包含以下参数： grant_type：表示授权类型，此处的值固定为"password"，必选项。 username：表示用户名，必选项。...客户端发出更新令牌的HTTP请求，包含以下参数： granttype：表示使用的授权模式，此处的值固定为"refreshtoken"，必选项。
state：如果客户端的请求中包含这个参数，认证服务器的回应也必须一模一样包含这个参数。 下面是一个例子。...code=SplxlOBeZQQYbYS6WxSbIA &state=xyz D步骤中，客户端向认证服务器申请令牌的HTTP请求，包含以下参数： grant_type：表示使用的授权模式...state：如果客户端的请求中包含这个参数，认证服务器的回应也必须一模一样包含这个参数。 下面是一个例子。...B步骤中，客户端发出的HTTP请求，包含以下参数： grant_type：表示授权类型，此处的值固定为"password"，必选项。 username：表示用户名，必选项。...客户端发出更新令牌的HTTP请求，包含以下参数： granttype：表示使用的授权模式，此处的值固定为"refreshtoken"，必选项。
从历史上看，某些服务允许在 post 正文参数甚至 GET 查询字符串中发送令牌，但这些方法也有缺点，大多数现代实现将仅使用 HTTP 标头方法。...Refresh Tokens 当您最初收到访问令牌时，它可能包含刷新令牌以及过期时间，如下例所示。...您可以检查此特定错误消息，然后刷新令牌并再次尝试请求。 如果您使用的是基于 JSON 的 API，那么它可能会返回带有错误的 JSON 错误响应invalid_token。...，它可以使用之前收到的刷新令牌向令牌端点发出请求，并将取回可用于重试原始请求的新访问令牌。...要使用刷新令牌，请使用 向服务的令牌端点发出 POST 请求grant_type=refresh_token，并在需要时包括刷新令牌和客户端凭据。
state：如果客户端的请求中包含这个参数，认证服务器的回应也必须一模一样包含这个参数。 下面是一个例子。...code=SplxlOBeZQQYbYS6WxSbIA &state=xyz D步骤中，客户端向认证服务器申请令牌的HTTP请求，包含以下参数： grant_type：表示使用的授权模式...state：如果客户端的请求中包含这个参数，认证服务器的回应也必须一模一样包含这个参数。 下面是一个例子。...B步骤中，客户端发出的HTTP请求，包含以下参数： grant_type：表示授权类型，此处的值固定为”password”，必选项。 username：表示用户名，必选项。...客户端发出更新令牌的HTTP请求，包含以下参数： granttype：表示使用的授权模式，此处的值固定为”refreshtoken”，必选项。
请求的响应中：一个访问令牌、一个授权码，或两者都有。请求访问令牌参数值必须设为“token”，请求授权码参数值必须设为“code”，或者使用参数值为“code_and_token”同时请求两者。...client_secret 是 必需参数。包含客户端私有证书。 grant_typ 是 必需参数。在请求中所包含的访问许可类型。...对于终端用户授权endpoint，授权服务器必须支持HTTP的“GET”方法，也可以支持使用“POST”方法。 正确响应 access_token 由授权服务器分发的访问令牌。...错误响应 如果终端用户拒绝了访问请求，或者由于除了缺少或无效重定向URI之外的其它原因而导致请求失败， error 错误码 invalid_request 请求缺少某个必需参数，包含一个不支持的参数或参数值...请求的响应中：一个访问令牌、一个授权码，或两者都有。请求访问令牌参数值必须设为“token”，请求授权码参数值必须设为“code”，或者使用参数值为“code_and_token”同时请求两者。
当发送请求到授权端点时，授权服务器必须要求使用TLS。授权服务器必须支持“Get”方法，也可以支持“Post”方法。 发送请求时，没有值的参数会被省略。...授权服务器必须忽略无法识别的请求参数。请求和响应参数不应包含超过一次。 ...如果已发布的访问令牌范围与客户端请求的范围不同，授权服务器必须包含“scope”响应参数，告知客户端实际范围授予。 ...error：必须。一个简单的、来自于包含下面参数的 ASCII 错误代码。 ...“grant_type”的值，也可以包含其他的一些参数，向令牌端点发送请求。
二、OAuth2 重点名词介绍 在 OAuth2 标准中定义了以下四种角色： 资源拥有者 (Resource Owner)： 代表授权客户端访问本身资源信息的用户（User）； 客户端 (Client)...参数是保密的，因此只能在后端发请求）; grant_type 参数的值是 AUTHORIZATION_CODE ，表示采用的授权方式是授权码; code 参数是上一步拿到的授权码; redirect_uri...参数是令牌颁发后的回调网址; B 网站接受请求并验证身份，身份验证通过后，会发放令牌。...向 redirect_uri 指定的网址，发送包含令牌 access_token 字段的JSON数据，流程完毕。 2....grant_type 参数为 refresh_token 表示要求更新令牌; client_id 参数和 client_secret 参数用于确认身份; refresh_token 参数就是用于更新令牌的令牌
领取专属 10元无门槛券
手把手带您无忧上云
