Recommended
More Related Content
Featured
Featured (20)
OAuth 2.0协议
- 1. Oauth 2.0协议 - By Will@ximalaya.com
- 2. OAuth 2.0概念 • OAuth 2.0（ rfc6749 ）是一种关于第三方应 用授权（authorization）的协议， • 举个例子： 用户使用新浪微博账号登陆喜马拉雅，喜 马拉雅不需要知道用户的新浪微博账户信 息，就可以通过Oauth 2.0授权访问他的微 博个人信息（还要看具体授权列表）
- 3. OAuth 2.0流程图
- 4. 客户端授权模式 • 授权码模式（authorization code） • 简化模式（implicit） • 密码模式（resource owner password credentials） • 客户端模式（client credentials）
- 5. 授权码模式流程
- 6. 各步骤参数说明— 步骤A • 步骤A response_type 授权类型，固定值code client_id 客户端ID redirect_uri 重定向URI scope 权限范围，可选项，用英文逗号分隔 state 客户端当前状态，可选项，可以指定任意值， 认证服务器会原封不动返回这个值，可以用 来防止CSRF攻击
- 7. 各步骤参数说明— 步骤C • 步骤C code 授权码，必选项。有效期非常短，可能只有几 分钟。客户端只能使用一次这个授权码 state 如果步骤A带有state参数，则认证服务器也必须 原封不动返回这个参数
- 8. 各步骤参数说明— 步骤D • 步骤D grant_type 授权模式，此处为固定值authorization_code code 步骤C返回的授权码 redirect_uri 重定向URI，必须与步骤A的该参数一致 client_id 客户端ID
- 9. 各步骤参数说明— 步骤E • 步骤E access_token 访问令牌 token_type 令牌类型，可以是bearer或者mac expires_in 令牌过期时间，单位为秒 refresh_token 更新令牌，可选项用来获取下一次的访问 令牌 scope 权限范围，如果与步骤A的一致，可省略
- 10. 豆瓣Oauth 2.0示例 • 获取authorization_code • 获取access_token • 使用access_token • 使用refresh_token
- 12. 获取access_token • 获取access_token POST https://www.douban.com/service/auth2/token? client_id=0b5405e19c58e4cc21fc11a4d50aae64& client_secret=edfc4e395ef93375 & redirect_uri=https://client.example.com/cb& grant_type=authorization_code& code=9b73a4248 返回值：
- 13. 使用access_token curl "https://api.douban.com/v2/user/~me" -H "Authorization: Bearer a14afef0f66fcffce3e0fcd2e34f6ff4“ 注意上面是在HTTP Header中带上access_token，这种方式也是推荐的
- 14. 使用refresh_token • 客户端检测到access_token过期后，可以使用refresh_token重新请求获 取新的access_token POST https://www.douban.com/service/auth2/token? client_id=0b5405e19c58e4cc21fc11a4d50aae64& client_secret=edfc4e395ef93375 & redirect_uri=https://client.example.com/cb& grant_type=refresh_token& refresh_token=5d633d136b6d56a41829b73a424803ec 返回值：
- 16. 登陆并授权界面
- 17. HTTP抓包分析
- 18. Q/A
Editor's Notes
- 比如： GET /authorize?response_type=code&client_id=s6BhdRkqt3&state=xyz &redirect_uri=https%3A%2F%2Fclient%2Eexample%2Ecom%2Fcb HTTP/1.1 Host: server.example.com 其中redirect_uri的URL解码结果是 https://client.example.com/cb
- 比如： HTTP/1.1 302 Found Location: https://client.example.com/cb?code=SplxlOBeZQQYbYS6WxSbIA&state=xyz
- 比如： POST /token HTTP/1.1 Host: server.example.com Authorization: Basic czZCaGRSa3F0MzpnWDFmQmF0M2JW Content-Type: application/x-www-form-urlencoded grant_type=authorization_code&code=SplxlOBeZQQYbYS6WxSbIA &redirect_uri=https%3A%2F%2Fclient%2Eexample%2Ecom%2Fcb
- 比如： HTTP/1.1 200 OK Content-Type: application/json;charset=UTF-8 Cache-Control: no-store Pragma: no-cache { "access_token":"2YotnFZFEjr1zCsicMWpAA", "token_type":"example", "expires_in":3600, "refresh_token":"tGzv3JOkF0XG5Qx2TlKWIA", "example_parameter":"example_value" }