OAuth

Posted 2020-06-26 山河水

OAuth
OAuth为用户资源的授权提供了一个安全、开放的标准，将会是以后开发平台普遍遵守的，目前Twitter、Sina微博、豆瓣、Google等都提供对它的支持。它分为几个交互过程：
1）应用用APP KEY和APP SECRET换取OAuth_token；
2）应用将用户引导到服务商的页面对该OAuth_token进行授权（可能需要输入用户名和密码）；
3）服务商的页面跳转回应用，应用再根据参数去服务商获得Access Token；
4）使用这个Access Token就可以访问API了。
上述过程如下图所示：
OAuth认证过程
OAuth的优点：
u 安全性高，用户的账户和密码只需要提供一次，而且是在服务商的页面上提供，防止了Basic Auth反复传输密码带来的安全隐患；
u Access Token访问权限仅限于应用，被窃取不会影响用户在该服务商的其他服务；
u Access Token即使被监听丢失了随时可以撤销，不像密码丢失可能就被别人篡改了；
u 用户修改了密码也不会影响该应用的正常使用。

 

OAUTH协议为用户资源的授权提供了一个安全的、开放而又简易的标准。与以往的授权方式不同之处是OAUTH的授权不会使第三方触及到用户的帐号信息（如用户名与密码），即第三方无需使用用户的用户名与密码就可以申请获得该用户资源的授权，因此OAUTH是安全的。oAuth是Open Authorization的简写。

 

理解OAuth 2.0

http://www.ruanyifeng.com/blog/2014/05/oauth_2_0.html