OAuth认证原理

User(Browser)-Client(Web Server)-Server(Service Provider)

OAuth1

1: Client->Server: 输入client-key；获取ungranted token;

2: User->Server:输入ungranted token，callback-url；通过callback-url的参数获取granted token（token未发生变化，也可不传）

3: Client->Server:输入client-key，ungranted token；获取access token。

Client的client-key相当重要，始终未暴露给User；access token一般可访问时间较长。

 

OAuth2

client(User) flow

1:User->Server:输入client-id，callback-url，response_type=token；通过callback-url的参数获取access token；

2:直接使用access token访问，如果失效重复1，系统会绕过登陆直接通过callback-url的参数获取新的access token；

web server flow

 

1:User->Server:输入client-id，callback-url，response_type=code；通过callback-url的参数获取auth coce；

2:Client->Server:输入client-id，client-secert，callback-urlt，auth coce；通过callback-url的参数获取access token和refresh token；

3:直接使用access token访问，如果失效重复2，同时传入refresh token，系统会绕过登陆直接通过callback-url的参数获取新的access token；