OAuth2.0基本知识

• 前置知识
  • 关注客户端开发者的简易性
  • 通过组织在资源拥有者和HTTP服务商之间的被批准的交互动作代表用户
  • 允许第三方应用代表用户获得访问的权限
  • 为Web应用、桌面应用、手机和起居室设备提供专门的认证流程
• 应用
  • 允许用户提供一个令牌，而不是用户名和密码来访问他们存放在特定服务提供者的数据。每个令牌授权一个特定的网站（如百度网盘）
    在特定的时间段（如1小时）内访问特定的资源（如图片）。允许用户授权第三方网站访问他们存储在另外的提供服务者上的信息，而不需要分享
    分享他们的访问许可或他们数据的所有内容
• 认证授权过程
  • 角色
    • 服务提供方：用户使用服务提供方（百度网盘）来存储受保护的资源，如图片及音视频文件等
    • 用户：存放在服务提供方的受保护的资源的拥有者（资源所有者）
    • 客户端：要访问服务提供方资源的第三方应用，通常是网站。
    • 注意：在认证之前客户端还需要向服务提供方申请客户端标识
  • 过程
    • 用户想要操作存储在服务提供方的资源
    • 用户登录客户端向服务提供方请求一个临时令牌
    • 服务提供方验证客户端身份后，授予一个临时令牌
    • 客户端获得临时令牌后，将用户引导至服务提供方的授权页面请求用户授权。在这个过程中将临时令牌和客户端的回调连接发送给服务提供方
    • 用户在服务提供方的网页上输入用户名和密码，然后授权该客户端访问所请求的资源
    • 授权成功后，服务提供方引导用户返回客户端的网页
    • 客户端根据临时令牌从服务提供方那里获取访问令牌
    • 服务提供方根据临时令牌和用户授权情况授予客户端访问令牌
    • 客户端使用获取的访问令牌访问存储在服务提供方上受保护的资源