OAuth 2.0 in Action All In One

OAuth 2.0 in Action All In One

OAuth工作原理：

1. 三个重要步骤
2. 第三方登录
3. 获取 Request Token
4. 获取 Access Token
5. 后续 API 访问
6. Refresh Token 刷新 Access Token

postman

https://www.getpostman.com/docs/

https://learning.postman.com/docs/sending-requests/authorization/oauth-20/

授权类型

1. 授权代码
2. 隐式授权
3. 密码凭证
4. 客户端凭证

授权码

授权码授予类型要求用户向提供者进行身份验证-然后将授权码发送回客户端应用程序，提取并与提供者交换以获取访问令牌以认证后续请求。

要使用授权码授予类型，请输入客户端应用程序的回调URL（应在API提供商处注册），以及API服务提供的各种详细信息，包括Auth URL，访问令牌URL，Client ID和Client Secret。

您可以通过选择使用浏览器授权，在网络浏览器中输入身份验证详细信息，而不是在Postman中输入身份验证详细信息。

授权码（带PKCE）
您可以将PKCE（代码交换证明密钥）与OAuth 2.0结合使用。选择授权代码（使用PKCE）时，两个其他字段将变为“代码质询方法”和“代码验证者”可用。您可以选择使用SHA-256或Plain算法来生成代码挑战。验证程序是一个可选的43-128字符串，用于将授权请求连接到令牌请求。

建议将授权代码（带有PKCE）授予类型与使用浏览器进行授权一起使用，以防止身份验证代码拦截攻击。

隐式授权

隐式授权类型立即将访问令牌返回到客户端，而无需执行额外的身份验证代码步骤（因此安全性较低）。

要将隐式授予类型用于Postman中的请求，请输入您已向API提供程序注册的回调URL，提供程序Auth URL以及已注册应用程序的客户端ID。

您可以通过选择使用浏览器授权，在网络浏览器中输入身份验证详细信息，而不是在Postman中输入身份验证详细信息。

密码凭证

OAuth 2.0 密码授予类型涉及直接从客户端发送用户名和密码，因此，如果您要处理第三方数据，则不建议使用。

要使用密码授予类型，请输入API提供者的访问令牌URL以及用户名和密码。在某些情况下，您还需要提供客户端ID和密码。

客户端凭证

客户端凭据授予类型通常不用于访问用户数据，而是用于与客户端应用程序关联的数据。

输入提供商的访问令牌URL以及您注册的应用程序的客户端ID和客户端密钥。

请求OAuth 2.0令牌
请求新访问令牌的参数的完整列表如下，具体取决于您的授予类型：

令牌名称：您要用于令牌的名称。
授予类型：选项的下拉列表-这将取决于API服务提供商的要求。
回调URL：身份验证后重定向到的客户端应用程序回调URL，应在API提供程序中注册。如果未提供，则Postman将使用默认的空URL并尝试从中提取代码或访问令牌-如果这不适用于您的API，则可以使用以下URL：
https://www.postman.com/oauth2/callback

使用浏览器进行授权：您可以选择在网络浏览器中输入凭据，而不是使用授权代码或隐式授予类型时默认情况下出现在Postman中的弹出窗口。选中此框会将回调URL设置为返回邮递员。
身份验证URL： API提供程序授权服务器的端点，用于检索身份验证代码。
访问令牌URL：提供商的身份验证服务器，用于交换访问令牌的授权代码。
客户端ID：您在API提供程序中注册的客户端应用程序的ID。
客户端机密： API提供商提供给您的客户端机密。
范围：您所请求的访问范围，其中可能包含多个以空格分隔的值。
状态：不透明的值，以防止跨站点请求伪造。
客户端身份验证：下拉列表-在标头中发送基本身份验证请求，或在请求正文中发送客户端凭据。升级到新版本后，请更改此下拉菜单中的值，以避免客户端身份验证出现问题。
配置完成后，点击请求令牌。

当您使用授权代码或隐式授予类型时，系统将提示您提供凭据以检索要在后续请求中使用的访问令牌。默认情况下，当您单击Request Token时，Postman将显示一个弹出浏览器。您也可以选择使用系统的默认Web浏览器进行身份验证。选择授权使用的浏览器和回调URL会自动填充，当你已经完成了在浏览器中AUTH返回邮差，让您的请求可以使用令牌在认证成功返回。

如果您成功地从API接收到令牌，则将看到其详细信息，到期时间以及可选的刷新令牌，当当前令牌过期时，可以使用该令牌来检索新的访问令牌。单击“使用令牌”以选择返回的值。

任何成功检索的令牌都将在请求“可用令牌”下拉列表中列出。选择一个与您的请求一起发送。在下拉列表中选择管理令牌以查看更多详细信息或删除您的令牌。

如果验证失败或超时，邮递员将显示错误消息。您可以在控制台中检查错误详细信息，重试尝试再次进行身份验证，或在继续之前编辑您的身份验证详细信息。

在 Postman 中删除令牌不会撤消访问权限。只有发出令牌的服务器才能撤销它。

refs

https://learning.postman.com/docs/sending-requests/authorization/#bearer-token

---

---

©xgqfrms 2012-2020

www.cnblogs.com 发布文章使用：只允许注册用户才可以访问！

---