开放平台OAuth 2.0授权开发实践

Posted 2023-05-01

参考技术A 由于网站的用户规模小，一开始没有自建用户体系，使用的是国内流行的几个开放平台的第三方帐号登录。比如：新浪微博、QQ、淘宝、人人网。

这些网站使用的都是OAuth 2.0协议实现的认证和授权，下面是我按照自己理解画的OAuth 2.0认证和授权流程图：

整个流程设计3个角色：用户，或者称浏览器；应用服务器，也就是用户访问的站点；开放平台（微博、QQ等）。这里以Weibo为例详细讲讲各个步骤：

用户点击网站页面上的“登录”按钮：

网站收到用户请求后，向开放平台请求一个Authorization Code。网站发送的这个请求url中会包含开放平台分配的APP KEY和一个回调地址。回调地址的作用是用户授权后开放平台通过该回调地址将access token返回给应用服务器。

浏览器页面跳转到开放平台的登录页面，要求用户登录。可以注意到这时浏览器地址栏中的地址是开放平台的域名，而非用户访问的站点，因此不必当心应用站点知道你的开放平台用户名密码。

用户输入用户名、密码，点击“登录”

用户在开放平台登录成功后，如果用户之前没有对当前访问的站点授权，或者已经取消了授权，那么开放平台会将页面跳转到授权确认页面：

默认都是最普通的权限。如果网站想要更高级的权限，需要将权限对应的编码作为scope参数添加到2中的url中。

用户根据网站需要的权限内容选择授权或拒绝。不管用户有没有授权，其实到了这一步都已经完成了2A中的Authentication即认证这一步了。只是如果用户没有对网站授权的话，网站就无法获取到用户的数据，无法进一步为用户提供相关服务。

用户授权以后，开放平台会生成一个Authorization Code，并通过网站提供的回调地址将该code发送给网站。

网站在拿到授权码（Authorization Code）后，就可以使用授权码到开放站点换取Access Token了。Authorization Code只表示得到了用户授权，具体访问用户资源还需要Access Token。

开放站点将Access Token返回给应用服务器。

网站使用Access Token请求用户基本信息。这里由于各个开放平台的api不一样，有时候可能需要不止一次请求，但逻辑上已经没有多大区别了。一旦网站有了这个Access Token，就可以调用开放平台提供的接口请求授权的用户资源。

Access Token有一个有效时间，通常是24小时。在这段时间内，如果用户不做修改密码或取消授权等动作，网站都可以使用该token获取用户的资源。

开放平台校验Access Token无误后，将当前用户的基本信息返回给站点。通常这段信息中会包括用户的昵称、性别、头像等。

站点获取到用户信息后，将页面跳转到登录成功页面，并使用获取到的信息为用户提供一个友好的页面提示，也可以利用该信息为用户提供更多的个性化服务。

OAuth2.0学习（5-4）新浪开放平台-微博API-使用OAuth2.0调用API

使用OAuth2.0调用API

使用OAuth2.0调用API接口有两种方式：

1、 直接使用参数，传递参数名为 access_token

URL

1	https://api.weibo.com/2/statuses/public_timeline.json?access_token=abcd

2、在header里传递，形式为在header里添加 Authorization:OAuth2空格abcd，这里的abcd假定为Access Token的值，其它接口参数正常传递即可。

注：所有的微博开放平台接口都部署在weibo.com域下，仅有移动端的授权接口在open.weibo.cn域。

 

授权中的其他功能

Scope

Scope是OAuth2.0新版授权页提供的一个功能，通过scope，平台将开放更多的微博核心功能给开发者，同时也加强用户隐私保护，提升了用户体验，用户在新OAuth2.0授权页中有权利选择赋予应用的功能。

Scope开放的接口文档：接口文档

 

客户端默认回调页

通常Mobile Native App没有服务器回调地址，您可以在应用控制台授权回调页处填写平台提供的默认回调页，该页面用户不可见，仅用于获取access token。

OAuth2.0客户端默认回调页：https://api.weibo.com/oauth2/default.html

 

强制登录

授权页会默认读取当前用户的微博登录状态，如果你想让用户重新登录，请在调用authorize接口时传入参数：forcelogin=true，默认不填写此参数相当于forcelogin=false。

 

取消授权回调页

开发者可以在应用控制台填写取消授权回调页，当用户取消你的应用授权时，开放平台会回调你填写的这个地址。并传递给你以下参数，source：应用appkey，uid ：取消授权的用户，auth_end ：取消授权的时间

OAuth2.0相关资源

以下SDK包含了OAuth2.0及新版API接口

下载Android SDK	下载iOS SDK	下载WP7 SDK
下载PHP SDK(由SAE维护)	下载Java SDK	下载Python SDK
下载Flash SDK	下载Javascript SDK	下载C# SDK

 

移动开发SDK说明文档

Android SDK 说明文档	iOS SDK 说明文档	WP7 SDK 说明文档

 

其他参考资料

OAuth是一种国际通用的授权方式， OAuth2.0的官方技术说明可参看 http://oauth.net/2/

如果你仍在使用Oauth1.0，请进入浏览相关文档。

 

OAuth2.0 错误码

微博OAuth2.0实现中，授权服务器在接收到验证授权请求时，会按照OAuth2.0协议对本请求的请求头部、请求参数进行检验，若请求不合法或验证未通过，授权服务器会返回相应的错误信息，包含以下几个参数：

• error: 错误码
• error_code: 错误的内部编号
• error_description: 错误的描述信息
• error_url: 可读的网页URI，带有关于错误的信息，用于为终端用户提供与错误有关的额外信息。

错误信息的返回方式有两种：

1. 当请求授权Endpoint：https://api.weibo.com/2/oauth2/authorize 时出现错误，返回方式是：跳转到redirect_uri，并在uri 的query parameter中附带错误的描述信息。

2. 当请求access token endpoing:https://api.weibo.com/oauth2/access_token 时出现错误，返回方式：返回JSON文本。例如：

 

JSON

1 2 3 4 5

{     "error": "unsupported_response_type",     "error_code": 21329,     "error_description": "不支持的ResponseType." }

OAuth2.0错误响应中的错误码定义如下表所示：

 

错误码(error)	错误编号(error_code)	错误描述(error_description)
redirect_uri_mismatch	21322	重定向地址不匹配
invalid_request	21323	请求不合法
invalid_client	21324	client_id或client_secret参数无效
invalid_grant	21325	提供的Access Grant是无效的、过期的或已撤销的
unauthorized_client	21326	客户端没有权限
expired_token	21327	token过期
unsupported_grant_type	21328	不支持的 GrantType
unsupported_response_type	21329	不支持的 ResponseType
access_denied	21330	用户或授权服务器拒绝授予数据访问权限
temporarily_unavailable	21331	服务暂时无法访问
appkey permission denied	21337	应用权限不足

OAuth2.0相关问题，查看 OAuth2.0相关问题