《OAuth基本介绍》课件.pptVIP

*******************OAuth基本介绍OAuth是开放授权协议，允许用户授权第三方应用访问其在其他网站上的信息，而无需共享其密码。OAuth是什么授权协议OAuth是一种授权协议，允许用户将自己的帐户信息授予第三方应用，而无需直接共享密码。安全授权OAuth通过使用令牌系统，确保第三方应用只能访问用户授权的特定资源。广泛应用OAuth广泛应用于社交登录、API访问、单点登录等场景，简化用户授权流程。OAuth的历史发展早期版本OAuth1.0于2007年发布，主要用于授权第三方应用程序访问用户资源，例如照片和联系信息。OAuth2.0OAuth2.0于2012年发布，它改进了授权流程，并引入了新的授权模式，例如授权码模式和隐式授权模式。OAuth2.1OAuth2.1于2019年发布，它主要侧重于安全性改进，并解决了一些OAuth2.0规范中的问题。OAuth的应用场景社交登录例如，使用微信、QQ或微博账号登录网站或应用程序。第三方应用授权允许第三方应用访问用户在特定平台上的数据，例如，允许一个应用程序访问用户的GoogleDrive文件。API调用安全地调用第三方API，例如，使用OAuth认证来调用Twitter的API获取必威体育精装版的推文。单点登录用户只需登录一次即可访问多个应用程序或服务，例如，企业内部多个应用程序的统一身份认证。典型的OAuth流程1用户授权用户同意应用程序访问其资源2授权码获取应用程序向授权服务器请求授权码3访问令牌获取应用程序使用授权码交换访问令牌4资源访问应用程序使用访问令牌访问受保护的资源OAuth流程主要涉及用户授权、授权码获取、访问令牌获取和资源访问四个步骤。每个步骤都依赖于前一个步骤，共同完成授权和资源访问的过程。术语和概念解释OAuth是一种开放标准，允许第三方应用程序在不直接访问用户密码的情况下，访问用户在特定服务上的数据。授权服务器：负责验证用户身份并授予访问权限的服务器。资源服务器：保存用户数据的服务器。客户端：第三方应用程序，请求访问用户数据。资源所有者：用户，拥有要访问的数据。授权码授权模式1用户请求授权用户访问需要授权的资源2重定向到授权服务器用户被重定向到授权服务器3授权服务器验证用户授权服务器验证用户身份和权限4授权码颁发授权服务器颁发授权码给客户端授权码模式是OAuth中最常用的授权模式之一。该模式适用于需要更安全、更可靠的授权场景，例如在Web应用程序中使用。隐式授权模式1简化流程省略授权码步骤，直接获取访问令牌。2适用于单页面应用适合使用JavaScript的Web应用，无需服务器端参与。3安全性降低直接将访问令牌暴露在客户端，安全性较低。客户端凭证授权模式1身份验证应用程序使用自己的客户端ID和密钥进行身份验证。2访问令牌应用程序获取访问令牌，用于访问受保护的资源。3资源访问应用程序使用访问令牌访问受保护的资源。4无需用户交互客户端凭证模式无需用户参与，适用于机器对机器的授权。客户端凭证授权模式是一种简单的授权模式，适用于机器对机器的授权，例如服务器应用程序或脚本。该模式不需要用户交互，因为应用程序使用自己的凭证进行身份验证，并获取访问令牌。资源所有者密码凭证授权模式概述该模式下，客户端直接向授权服务器提供资源所有者的用户名和密码，获取访问令牌。适用场景适用于客户端无法直接访问资源所有者，但可以获取其凭据的场景，例如：桌面应用、移动应用。流程客户端向授权服务器发送请求，提供资源所有者的用户名和密码。授权服务器验证用户名和密码，并返回访问令牌。客户端使用访问令牌访问受保护资源。缺点该模式存在安全风险，因为客户端需要存储资源所有者的凭据。refreshtoken的使用refreshtoken是一种用于续期访问令牌的特殊令牌。当访问令牌过期后，可以使用refreshtoken向授权服务器请求新的访问令牌。refreshtoken通常具有较长的有效期，但需要妥善保管，以避免被盗用或泄露。在使用refreshtoken请求新的访问令牌时，通常需要提供客户端ID、客户端密钥和refreshtoken。授权码的获取过程1用户请求授权用户访问需要授权的资源，例如访问社交媒体网站，需要先获取授权码。2重定向到授权服务器用户被重定向到授权服务器，提供相关授权信息。3授权服务器验证用户授权服务器验证用户的身份，并根据用户授权范围生成授权码。4授权码返回给