8 权限
OAuth是一个关于授权（authorization）的开放网络标准协议，简单理解就是一种授权机制。 它是在客户端和资源所有者之间的授权层，用来分离两种不同的角色。在资源所有者同意并向客户端颁发令牌后，客户端携带令牌可以访问资源所有者的资源。 OAuth2.0是OAuth协议的一个版本，2.0版本不兼容1.0版本，相当于1.0版本已经康弃
OAut就是一种授权机制。数据的所有者告诉系统，同意授权第三方应用进入系统，获取这些数据。系统从而产生一个短期的进入令牌（token），用来代替密码，供第三方应用使用
令牌的特点
- 短期的，到期会自动失效，用户自己无法修改。Caaiv.
- 可以被数据所有者撤销，会立即失效。
- 有权限范围（scope），对于网络服务来说，只读令牌就比读写令牌更安全。 令牌既可以让第三方应用获得权限，同时又随时可控，不会危及系统安全。这也是OAuth2.0的优点。
获取令牌四种实现方式
- 授权码（authorization-code)
- 隐藏式（implicit）
- 密码式（password）
- 客户端凭证（client credentials）
不管哪一种授权方式，第三方应用申请令牌之前，都必须先到系统备案，说明自己的身份，然后会拿到两个身份识别码：客户端ID（clientID）和客户端密钥（client secret）。这是为了防止令牌被滥用，没有备案过的第三方应用，是不会拿到令牌的；
授权码
授权码（authorizationcode）方式，指的是第三方应用先申请一个授权码，然后再用该码获取令牌（适合前后端分离，最常用的方式） 这种方式是最常用的流程，安全性也最高，它适用于有后端的Web应用。授权码通过前端传送，令牌则是储存在后端，而且所有与资源服务器的通信都在后端完成。这样的前后端分离，可以避免令牌泄漏。
实现流程
- A网站提供一个链接，用户点击后就会跳转到B网站，授权用户数据给A网站使用。
- 跳转成功后，B网站会要求用户登录，然后询问是否同意基于A网站的授权，用户表示同意，这时B网站就会跳回redirect_url参数指定的网址，跳转的时候会传回一个授权码
- A网站拿到授权码以后，就可以在后端，向B网站请求令牌。
隐藏式
适用于纯前端的WEB应用，必须将令牌储存在前端。允许直接向前端颁发令牌。这种方式没有授权码这个中间步骤，所以称为（授权码）。由于前端直接获取token，安全性较低，一般适用于比较信任的网站，并且令牌的有效期，也相对较短，一般是界面关闭即失效
实现流程
- A网站提供一个链接，要求用户跳转到B网站，授权用户数据给A网站使用
- 用户跳转到B网站，登录后同意给予A网站授权。B参数指定的direct_url跳转网址，并且把令牌作为URL参数，传给A网站
- token参数为令牌，令牌的位置是URL锚点（fragment），而不是查询字符串（querystring），这是因为OAuth2.0允许跳转网址是HTTP协议，因此存在“中间人攻击“的风险，而浏览器跳转时，锚点不会发到服务器，就减少了泄漏令牌的风险。
密码式
如果你高度信任某个应用，RFC6749也允许用户把用户名和密码，直接告诉该应用。该应用就便用你的密码，申请令牌，这种方式称为“密码式”（pasSword）
实现流程
- A网站要求用户提供B网站的用户名和密码。拿到以后，A就直接向B请求令牌。
- B网站验证身份通过后，直接给出令牌。注意，这时不需要跳转，而是把令牌放在JSON数据里面，作为HTTP回应，A因此拿到令牌。
这种方式需要用户给出自己的用户名/密码，显然风险很大，因此只适用于其他授方式都无法采用的情况，而且必须是用户高度信任的应用
凭证式
凭证式和密码式很相似，主要适用于那些没有前端的命令行应用，可以用最简单的方式获取令牌，在请求响应的JSON结果中返回token。
- A应用在命令行向B发出请求。
- B网站验证通过以后，直接返回令牌
令牌的使用和更新
使用
A网站拿到令牌以后，就可以向B网站的API请求数据了。使用方法为在请求头中将token放在http请求头部的一个Authorization字段里。
更新
token是有时效性的，一旦过期就需要重新获取，令牌的有效期到了，如果让用户重新走一遍上面的流程，再申请一个新的令牌，很可能体验不好，而且也没有必要。OAuth2.0允许用户自动更新令牌
实现方法 具体方法是，B网站颁发令牌的时候，一次性颁发两个令牌，一个用于获取数据，另一个用于获取新的令牌（refreshtoken字段）。令牌到期前，用户使用refreshtoken发一个请求，去更新令牌。
贡献者
pinkdopeybug版权所有
版权归属：
