OAuth认证机制与用户资源实践分析.pdfVIP

资源的

⚫在互联网行业，公司要能长期存，用户量很重要，比如腾讯、新

浪，那用户人群是非常巨大的

⚫于此同时，要想长期留住用户，用户资源(数据)的管理也很重要，比如

你经常在不经过用户同意的情况下，把用户的一些资源共享出去，那肯

定是留不住用户的，甚至会遭到法律的

⚫但是，有时候确实要把某些用户资源共享出去，比如第想用户

的、第想用户的数据

⚫要想把用户资源共享出去，就必须取得用户的同意，那么这里就有个资

源的问题

⚫资源的方式有很多种，关键是要安全

⚫常用的有OAuth

什么是OAuth？

⚫OAuth是一种协议，OAuth协议为用户资源的了一个安全的、

开放而又简易的

⚫任何服务商只要想把自己的用户资源共享出去，都可以实现自身的

OAuth认证服务。比如腾讯可以实现自己的OAuth认证服务，把用户的

共享出去

⚫同时，任何第都可以使用OAuth认证服务，第若想用户资

源，就必须遵守服务商实现的OAuth协议

⚫总结一下，OAuth可以用来控制用户资源的权限。比如我们想

用户的数据，就必须通过新浪实现的OAuth认证

OAuth产生的背景

问题：假如你正在使用美图秀秀处理你的相片，处理完后觉得自己好美哦，决定把

到自己的，有什么解决方案？

解决方案：

⚫第1种方案

1步骤：你先使用美图秀秀将处理完的保存到硬盘上；然后再登录你

，把事先保存在硬盘上的上传到，然后出去

2评价：这种方式很安全，但处理比较繁琐，效率低下

⚫第2种方案

1步骤：你将自己的直接给美图秀秀，美图秀秀再利用你的新

浪自动，将处理完的出去

2评价：这种方式效率是提高了，但是安全性大大降低了，美图秀秀可以使用你

的去查看你的所有隐私甚至篡改你的资料

OAuth产生的背景

提问：有没有安全又高效的方案呢？在不让美图秀秀知道自己的前

提下，自动帮我发送一条，将出去

思考：

1首先，要想美图秀秀自动发，肯定要调用的API接口，所以新浪要

开放自己的API；

2其次，如果新浪把API开放了，美图秀秀可以调用了，但是也不可能让它随意访

问每个用户的资源，需要用户批准、用户，而且的过程中不能让美图秀秀

知道的

解决步骤：

1新浪开放自己的API

2用户对资源进行（最后，美图秀秀应该在不知道用户的前

提下，自动发送进行）

OAuth产生的背景

提问：上面提到需要用户对资源进行，那有没有安全的方式呢？

⚫很多公司和个人都尝试解决这类问题，包括、Yahoo、，这也

促使OAUTH项目组的产生

⚫OAuth是由BlaineCook、ChrisMessina、LarryHalff及David

Recordon共同发起的，目的在于为API一个开放的

OAuth优点

⚫OAUTH协议为用户资源的了一个安全的、开放而又简易的

⚫OAUTH的不会使第触及到用户的信息（如用户名与）

，即第无需使用用户的