OAuth2.0（二）

我就是我 2022-05-14 08:28 166阅读 0赞

原文[https://www.cnblogs.com/jdluojing/p/4201752.html][https_www.cnblogs.com_jdluojing_p_4201752.html]

# [oauth2.0学习笔记][https_www.cnblogs.com_jdluojing_p_4201752.html] #

## 简介 ##

oauth2.0是一种目前被广泛使用的开放式授权协议。各个服务平台可以使用oauth2.0协议来允许平台用户授权第三方来获取用户的信息数据等。

## 术语 ##

**Client **: 第三方应用

**Resource Owner** : 资源拥有者,即平台用户

**Authorization Server **: 认证服务器,即平台提供的专门处理认证的服务

**Resource Server** : 资源服务器,平台给第三方提供资源访问的服务器,它与认证服务器可以是同一台也可以不是同一台

**User Agent **: 用户代理，即浏览器

## 协议流程 ##

![041756468413140.png][]

（A）用户打开客户端以后，客户端要求用户给予授权

（B）用户同意给予客户端授权。

（C）客户端使用上一步获得的授权，向认证服务器申请令牌。

（D）认证服务器对客户端进行认证以后，确认无误，同意发放令牌。

（E）客户端使用令牌，向资源服务器申请获取资源。

（F）资源服务器确认令牌无误，同意向客户端开放资源。

## 客户端授权类型 ##

*  授权码模式（authorization code）
 *  简化模式（implict）
 *  密码模式（resource owner password credentials）
 *  客户端模式（client credentials）

目前最常用的是授权码模式，因此也只对授权码模式进行学习。

## 授权码模式流程 ##

![041756474341324.png][]

（A）用户访问客户端，后者将前者重定向到认证服务器。

（B）用户选择是否给予客户端授权。

（C）假设用户给予授权，认证服务器将用户导向客户端事先指定的"重定向URI"（redirection URI），同时附上一个授权码。

（D）客户端收到授权码，附上早先的"重定向URI"，向认证服务器申请令牌。这一步是在客户端的后台的服务器上完成的，对用户不可见。

（E）认证服务器核对了授权码和重定向URI，确认无误后，向客户端发送访问令牌（access token）和更新令牌（refresh token）。

## 获取授权码(authorization code) ##

请求参数：

<table> 
 <tbody> 
  <tr> 
   <td>参数名称</td> 
   <td>是否可选</td> 
   <td>参数值</td> 
   <td>说明</td> 
  </tr> 
  <tr> 
   <td> <p>response_type</p> </td> 
   <td>必填</td> 
   <td>code</td> 
   <td>响应类型，此处固定值</td> 
  </tr> 
  <tr> 
   <td> <p>client_id</p> </td> 
   <td>必填</td> 
   <td>&nbsp;</td> 
   <td>客户端标识</td> 
  </tr> 
  <tr> 
   <td> <p>redirect_uri</p> </td> 
   <td>必填</td> 
   <td>&nbsp;</td> 
   <td>重定向url</td> 
  </tr> 
  <tr> 
   <td> <p>&nbsp;scope</p> </td> 
   <td>可选</td> 
   <td>&nbsp;</td> 
   <td>权限申请范围，多个空格分隔</td> 
  </tr> 
  <tr> 
   <td> <p>&nbsp;state</p> </td> 
   <td>可选</td> 
   <td>&nbsp;</td> 
   <td>客户端状态，服务端原样返回</td> 
  </tr> 
 </tbody> 
</table>

例如：

GET /authorize?response\_type=**code**&client\_id=s6BhdRkqt3&state=xyz&redirect\_uri=https%3A%2F%2Fclient%2Eexample%2Ecom%2Fcb HTTP/1.1  
Host: server.example.com

返回参数：

<table> 
 <tbody> 
  <tr> 
   <td>参数名称</td> 
   <td>是否可选</td> 
   <td>参数值</td> 
   <td>说明</td> 
  </tr> 
  <tr> 
   <td> <p>code</p> </td> 
   <td>必填</td> 
   <td>&nbsp;</td> 
   <td>授权码，有效时间很短，一次性</td> 
  </tr> 
  <tr> 
   <td> <p>state</p> </td> 
   <td>可选</td> 
   <td>&nbsp;</td> 
   <td>如果请求中包含,则原样返回</td> 
  </tr> 
 </tbody> 
</table>

例如：

HTTP/1.1302 Found  
 Location: https://client.example.com/cb?**code**=SplxlOBeZQQYbYS6WxSbIA&state=xyz

错误响应(JSON)：

<table> 
 <tbody> 
  <tr> 
   <td>参数名称</td> 
   <td>是否可选</td> 
   <td>参数值</td> 
   <td>说明</td> 
  </tr> 
  <tr> 
   <td> <p>error</p> </td> 
   <td>必填</td> 
   <td>参见“错误代码表”</td> 
   <td>错误代码</td> 
  </tr> 
  <tr> 
   <td> <p>error_description</p> </td> 
   <td>可选</td> 
   <td>&nbsp;</td> 
   <td>错误描述</td> 
  </tr> 
  <tr> 
   <td> <p>error_uri</p> </td> 
   <td>可选</td> 
   <td>&nbsp;</td> 
   <td>错误信息查看手册url</td> 
  </tr> 
 </tbody> 
</table>

错误代码表：

<table> 
 <tbody> 
  <tr> 
   <td>错误码</td> 
   <td>说明</td> 
  </tr> 
  <tr> 
   <td> <p>invalid_request</p> </td> 
   <td>请求格式不正确(参数缺失，重复等)</td> 
  </tr> 
  <tr> 
   <td> <p>unauthorized_client</p> </td> 
   <td>客户端未授权</td> 
  </tr> 
  <tr> 
   <td> <p>access_denied</p> </td> 
   <td>授权被拒绝</td> 
  </tr> 
  <tr> 
   <td> <p>unsupported_response_type</p> </td> 
   <td>response_type参数指定值不支持</td> 
  </tr> 
  <tr> 
   <td> <p>invalid_scope</p> </td> 
   <td>scope参数有误</td> 
  </tr> 
  <tr> 
   <td> <p>server_error</p> </td> 
   <td>授权服务器内部错误</td> 
  </tr> 
  <tr> 
   <td> <p>temporarily_unavailable</p> </td> 
   <td>授权服务暂时无法访问</td> 
  </tr> 
 </tbody> 
</table>

例如：

HTTP/1.1 302 Found  
   Location: https://client.example.com/cb?error=access\_denied&state=xyz

注：当请求没有处理成功(参数正确，获取到授权码)时，返回错误信息时应将http响应的响应码也更改为对应的含义(500除外，可以使用其他代替)。仅当处理成功时http响应码才应该被设置为200.

## 获取访问令牌(access token) ##

请求参数：

<table> 
 <tbody> 
  <tr> 
   <td>参数名称</td> 
   <td>是否可选</td> 
   <td>参数值</td> 
   <td>说明</td> 
  </tr> 
  <tr> 
   <td> <p>grant_type</p> </td> 
   <td>必填</td> 
   <td> <p>authorization_code</p> </td> 
   <td>固定值</td> 
  </tr> 
  <tr> 
   <td> <p>code</p> </td> 
   <td>必填</td> 
   <td>&nbsp;</td> 
   <td>授权码</td> 
  </tr> 
  <tr> 
   <td> <p>redirect_uri</p> </td> 
   <td>可选</td> 
   <td>&nbsp;</td> 
   <td>如有,必须和上一步一致</td> 
  </tr> 
  <tr> 
   <td> <p>client_id</p> </td> 
   <td>必填</td> 
   <td>&nbsp;</td> 
   <td>客户端标识</td> 
  </tr> 
  <tr> 
   <td>client_secret</td> 
   <td>必填</td> 
   <td>&nbsp;</td> 
   <td>客户端秘钥(该字段平台定义)</td> 
  </tr> 
 </tbody> 
</table>

例如：

POST /token HTTP/1.1  
 Host: server.example.com  
 Authorization: Basic czZCaGRSa3F0MzpnWDFmQmF0M2JW  
 **Content**\-**Type**: application/x-www-**form**\-urlencoded  
   
 grant\_type=authorization\_code&**code**=SplxlOBeZQQYbYS6WxSbIA&redirect\_uri=https%3A%2F%2Fclient%2Eexample%2Ecom%2Fcb

返回参数(JSON)：

<table> 
 <tbody> 
  <tr> 
   <td>参数名称</td> 
   <td>是否可选</td> 
   <td>参数值</td> 
   <td>说明</td> 
  </tr> 
  <tr> 
   <td>access_token</td> 
   <td>必填</td> 
   <td>bearer</td> 
   <td>访问令牌</td> 
  </tr> 
  <tr> 
   <td>token_type</td> 
   <td>必填</td> 
   <td>&nbsp;</td> 
   <td>令牌类型，bearer或mac</td> 
  </tr> 
  <tr> 
   <td>expires_in</td> 
   <td>可选</td> 
   <td>&nbsp;</td> 
   <td>过期时间</td> 
  </tr> 
  <tr> 
   <td>refresh_token</td> 
   <td>可选</td> 
   <td>&nbsp;</td> 
   <td>刷新令牌</td> 
  </tr> 
  <tr> 
   <td>scope</td> 
   <td>可选</td> 
   <td>&nbsp;</td> 
   <td>权限范围</td> 
  </tr> 
 </tbody> 
</table>

例如：

HTTP/1.1 200 OK  
     **Content**\-**Type**: application/json;**charset**=UTF-8  
     Cache-Control: no-store  
     Pragma: no-cache  
   
     \{  
       "access\_token":"2YotnFZFEjr1zCsicMWpAA",  
       "token\_type":"example",  
       "expires\_in":3600,  
       "refresh\_token":"tGzv3JOkF0XG5Qx2TlKWIA",  
       "example\_parameter":"example\_value"  
     \}

错误响应(JSON)：

<table> 
 <tbody> 
  <tr> 
   <td>参数名称</td> 
   <td>是否可选</td> 
   <td>参数值</td> 
   <td>说明</td> 
  </tr> 
  <tr> 
   <td>error</td> 
   <td>必填</td> 
   <td>参见“错误代码表”</td> 
   <td>错误代码</td> 
  </tr> 
  <tr> 
   <td>error_description</td> 
   <td>可选</td> 
   <td>&nbsp;</td> 
   <td>错误描述</td> 
  </tr> 
  <tr> 
   <td>error_uri</td> 
   <td>可选</td> 
   <td>&nbsp;</td> 
   <td>错误信息查看手册url</td> 
  </tr> 
 </tbody> 
</table>

错误代码表：

<table> 
 <tbody> 
  <tr> 
   <td>错误码</td> 
   <td>说明</td> 
  </tr> 
  <tr> 
   <td>invalid_request</td> 
   <td>请求格式不正确(参数缺失，重复等)</td> 
  </tr> 
  <tr> 
   <td> <p>invalid_client</p> </td> 
   <td>客户端权限校验失败</td> 
  </tr> 
  <tr> 
   <td> <p>invalid_grant</p> </td> 
   <td>授权码或refresh token无效</td> 
  </tr> 
  <tr> 
   <td> <p>unauthorized_client</p> </td> 
   <td>客户端未被授权使用该授权类型</td> 
  </tr> 
  <tr> 
   <td> <p>unsupported_grant_type</p> </td> 
   <td>授权服务器不支持该授权类型</td> 
  </tr> 
  <tr> 
   <td> <p>invalid_scope</p> </td> 
   <td>scope参数有误</td> 
  </tr> 
 </tbody> 
</table>

例如：

HTTP/1.1 400 Bad Request  
     **Content**\-**Type**: application/json;**charset**=UTF-8  
     Cache-Control: no-store  
     Pragma: no-cache  
   
     \{  
       "error":"invalid\_request"  
     \}

HTTP响应码参考：

302 Found  
400 Bad Request  
401 Unauthorized  
403 Forbidden  
503 Service Unavailable

## 刷新访问令牌 ##

请求参数：

<table> 
 <tbody> 
  <tr> 
   <td>参数名称</td> 
   <td>是否可选</td> 
   <td>参数值</td> 
   <td>说明</td> 
  </tr> 
  <tr> 
   <td>grant_type</td> 
   <td>必填</td> 
   <td> <p>refresh_token</p> </td> 
   <td>固定值</td> 
  </tr> 
  <tr> 
   <td>refresh_token</td> 
   <td>必填</td> 
   <td>&nbsp;</td> 
   <td>刷新令牌</td> 
  </tr> 
  <tr> 
   <td>client_id</td> 
   <td>必填</td> 
   <td>&nbsp;</td> 
   <td>客户端标识</td> 
  </tr> 
  <tr> 
   <td>client_secret</td> 
   <td>必填</td> 
   <td>&nbsp;</td> 
   <td>客户端秘钥</td> 
  </tr> 
  <tr> 
   <td>scop</td> 
   <td>可选</td> 
   <td>&nbsp;</td> 
   <td>权限范围</td> 
  </tr> 
 </tbody> 
</table>

注：授权信息可以通过http请求头的形式发送。

例如：

POST /token HTTP/1.1  
     Host: server.example.com  
     Authorization: Basic czZCaGRSa3F0MzpnWDFmQmF0M2JW  
     **Content**\-**Type**: application/x-www-**form**\-urlencoded  
   
     grant\_type=refresh\_token&refresh\_token=tGzv3JOkF0XG5Qx2TlKWIA

返回参数和错误响应与“获取访问令牌”一致。

## 访问保护资源 ##

客户端访问用户受保护资源时，一般只需要访问平台给出的url地址，然后将access\_token和其他参数一起发送过去即可。令牌信息可以通过请求头或者包含在请求数据中。

[https_www.cnblogs.com_jdluojing_p_4201752.html]: https://www.cnblogs.com/jdluojing/p/4201752.html
[041756468413140.png]: /images/20220514/1c16cfe7ffad49f9b7948a287a23187c.png
[041756474341324.png]: /images/20220514/07d02c2f0d4c4bdd8f4091292ec40a63.png