https://www.leanku.com/tags/oauth2.0/Recent content in OAuth2.0 on Leanku 的博客Hugozh-cnFri, 12 May 2023 13:46:01 +0800https://www.leanku.com/post/safety/oauth-2.0/Fri, 12 May 2023 13:46:01 +0800https://www.leanku.com/post/safety/oauth-2.0/<h1 id="oauth-20">OAuth 2.0</h1> <h2 id="一oauth20-是什么">一、OAuth2.0 是什么</h2> <p><strong>OAuth 2.0</strong> 是一种开放标准的授权协议，用于在不暴露账号密码的情况下，让用户授权第三方应用访问其受保护的资源。<br> 它主要解决的问题是：<strong>如何安全地委托访问权限</strong>。</p> <p>核心概念：</p> <table> <thead> <tr> <th>角色</th> <th>说明</th> </tr> </thead> <tbody> <tr> <td><strong>资源所有者（Resource Owner）</strong></td> <td>用户或数据所有者</td> </tr> <tr> <td><strong>客户端（Client）</strong></td> <td>第三方应用，需要访问资源</td> </tr> <tr> <td><strong>授权服务器（Authorization Server）</strong></td> <td>颁发令牌的服务器，负责验证用户身份并授权</td> </tr> <tr> <td><strong>资源服务器（Resource Server）</strong></td> <td>存储用户受保护资源的服务器，验证令牌后提供数据</td> </tr> </tbody> </table> <h2 id="二-常用场景">二、 常用场景</h2> <ol> <li> <p><strong>第三方登录（Social Login）</strong><br> 用户使用微信、GitHub、Google 登录你的站点，后端获取 Access Token 调用接口获取用户信息。</p> </li> <li> <p><strong>开放 API / 平台化</strong><br> 向合作伙伴提供 API，使用 OAuth 2.0 控制访问权限和作用域。</p> </li> <li> <p><strong>微服务内部接口调用</strong><br> 服务 A 调用服务 B 的接口，通过 Client Credentials 模式获取 Token，避免硬编码密码。</p> </li> <li> <p><strong>企业内部 SSO（单点登录）</strong><br> 多系统统一认证，用户在登录一次后，访问其他系统不需要重复登录。</p> </li> <li> <p><strong>前后端分离应用（SPA / Mobile App）</strong><br> 前端获取授权码，换取 Access Token，安全访问 API，密码不在前端传递。</p> </li> </ol> <h2 id="三oauth-20-主要流程">三、OAuth 2.0 主要流程</h2> <p>以 <strong>授权码模式（Authorization Code Grant）</strong> 为例：</p> <ol> <li> <p><strong>请求授权</strong>：客户端引导用户跳转到授权服务器，传入 <code>client_id</code>、<code>redirect_uri</code>、<code>scope</code>。</p>