CAS和OAuth2.0区别

CAS和OAuth2.0区别

CAS (Central Authentication Service) 和 OAuth 2.0 都是身份验证和授权技术,但它们在工作原理和适用场景上有明显的差异。

CAS 是一种单点登录(SSO)解决方案,它提供了一个中心化的身份验证和授权服务。用户只需要在 CAS 服务器上登录一次,就可以访问所有相关的应用程序,无需在每个应用程序上分别登录。CAS 主要用于学校和企业内部的身份验证和授权。

OAuth 2.0 是一种授权框架,可以让用户授权第三方应用程序访问他们在其他服务上存储的信息,而不需要披露密码。OAuth 2.0 主要用于互联网上的身份验证和授权,比如,用户可以使用 Facebook 账号登录第三方网站,而不需要在第三方网站上创建新账号。

因此,CAS 和 OAuth 2.0 都是为不同的场景设计的,CAS 更适合内部身份验证和授权,而 OAuth 2.0 更适合在互联网上的身份验证和授权。

Bearer和OAuth2.0区别

  • Bearer认证

Bearer authentication 和 OAuth 2.0 authentication 都是身份验证技术,但它们有一些重要的差异。

Bearer authentication 是一种令牌认证方法,其中客户端通过提交令牌来请求资源。令牌是在客户端成功登录后由服务器生成的,并且客户端可以存储令牌并在后续请求中重复使用。由于令牌是随请求发送的,因此服务器可以识别客户端并执行任何必要的授权检查。

OAuth 2.0 authentication 是一种授权框架,它允许客户端在不需要直接访问用户凭据的情况下访问用户的资源。在 OAuth 2.0 中,客户端向服务器请求授权令牌,并使用该令牌请求资源。由于令牌是由授权服务器生成的,因此可以更好地保护用户的隐私和安全。

因此,可以将 Bearer authentication 视为 OAuth 2.0 authentication 的一种实现,或将 OAuth 2.0 authentication 视为 Bearer authentication 的一种扩展。但是,OAuth 2.0 比 Bearer authentication 更加灵活和强大,并提供了更多的安全特性。

CAS 认证流程

 
cas_flow_diagram (1).png

OAuth2.0授权流程

  • OAuth2.0

OAuth2.0是一种开放的授权框架,它允许用户授权第三方应用访问他们的在线资源(例如文件存储,社交网络,电子邮件等),而不需要披露其访问凭证。

下面是OAuth2.0流程的一般步骤:

用户请求授权:第三方应用请求用户授权其访问其在线资源。

资源所有者授权:如果用户同意,资源所有者将生成一个授权码,并将其返回给第三方应用。

第三方应用请求令牌:第三方应用向认证服务器请求令牌,并提供授权码以证明它已获得授权。

认证服务器生成令牌:认证服务器验证授权码,如果有效,它将生成一个令牌并将其返回给第三方应用。

第三方应用请求资源:第三方应用可以使用令牌向资源服务器请求访问资源。

资源服务器验证令牌:资源服务器验证令牌,如果有效,它将返回请求的资源。

这是OAuth2.0流程的一般概述,但是它可以根据特定实现的需要进行扩展。

OAuth2.0授权方式

OAuth2.0定义了四种不同的授权方式:

  • 授权码模式(Authorization Code):这是最常见的OAuth2.0授权方式,它适用于Web应用程序。它要求用户在客户端授权,然后客户端从认证服务器请求令牌。

  • 简化模式(Implicit):这种方式适用于客户端(例如JavaScript应用程序),它允许客户端直接从认证服务器请求令牌,而不需要进行授权码流程。

  • 密码模式(Resource Owner Password Credentials):这种方式要求用户向客户端提供访问凭证(例如用户名和密码),然后客户端向认证服务器请求令牌。这种方式不推荐在Web应用程序中使用,因为它需要客户端将用户的凭证存储在客户端中。

  • 客户端凭证模式(Client Credentials):这种方式适用于客户端,它允许客户端向认证服务器请求令牌,而不需要任何用户授权。它通常用于客户端向资源服务器请求访问受保护资源。

这四种授权方式都是在OAuth2.0中定义的,你可以根据你的应用程序需求选择合适的授权方式。

OAuth2.0提供了多种授权流程,其中授权码授权流程是其中一种。这种流程通常被用于服务端应用,例如第三方应用,因为它们不能直接访问用户的资源。在这种流程中,首先获取授权码是必要的,因为它是换取令牌的一个中间步骤,并且还有助于保护资源拥有者的隐私。

然而,在某些情况下,授权码可以被省略,例如对于客户端应用,因为它们可以直接向资源服务器请求令牌。这种情况称为隐式授权流程。

因此,是否可以省去获取授权码的步骤取决于OAuth2.0的具体实现和应用场景。



作者:我是小胡胡分胡
链接:https://www.jianshu.com/p/6de90b83541b
来源:简书
著作权归作者所有。商业转载请联系作者获得授权,非商业转载请注明出处。
posted @ 2024-02-01 16:04  lclc  阅读(614)  评论(0编辑  收藏  举报