OAuth 2.0 从入门到精通（才不会放弃呢！）

原创于 2025-06-06 00:09:45 发布 · 1.1k 阅读

CC 4.0 BY-SA版权

文章标签：

摘要

OAuth 2.0 是一种广泛使用的开放授权协议，允许第三方应用在用户授权的情况下访问其受保护的资源，而无需用户共享密码。它在现代互联网应用中扮演着重要角色，例如第三方登录、API 授权访问等场景。本文将从 OAuth 2.0 的基本概念、核心角色、授权流程、四种授权模式、代码示例、应用场景、注意事项以及最佳实践等方面进行详细讲解，帮助读者全面掌握 OAuth 2.0 的使用方法。

一、概念讲解

（一）什么是 OAuth 2.0

OAuth 2.0（开放授权 2.0）是一种开放标准的授权协议，用于授权第三方应用访问用户在资源所有者（用户）的账户上存储的受保护资源，而无需共享用户凭据。它广泛应用于身份验证和授权场景，例如使用 Google、QQ 等账号登录第三方应用。

（二）OAuth 2.0 的核心角色

OAuth 2.0 涉及以下关键角色：

角色名称	描述
资源所有者（Resource Owner）	拥有受保护资源的用户，例如 QQ 用户拥有 QQ 相册中的照片资源。
用户代理（User Agent）	用于与资源所有者交互的客户端，通常是浏览器。
第三方应用（Client）	需要访问受保护资源的第三方应用，例如有道云笔记、新浪微博等。
资源服务器（Resource Server）	持有受保护资源的服务器，例如 QQ 相册服务器。
授权服务器（Authorization Server）	负责颁发访问令牌的服务器，例如 QQ 授权服务器。

（三）OAuth 2.0 的核心概念

OAuth 2.0 的核心是通过颁发访问令牌（Access Token）来授权第三方应用访问受保护的资源。访问令牌是一种临时的、有限制的凭证，第三方应用持有令牌后，即可访问资源服务器上的受保护资源。

二、架构图

三、流程图

四、授权模式

OAuth 2.0 支持四种授权模式：

授权码模式（Authorization Code Grant）：适用于 Web 应用，通过授权码换取访问令牌。
简化模式（Implicit Grant）：适用于浏览器或移动应用，直接返回访问令牌。
密码模式（Resource Owner Password Credentials Grant）：适用于受信任的应用，用户直接提供用户名和密码。
客户端模式（Client Credentials Grant）：适用于应用访问自身资源，客户端直接使用客户端凭证获取访问令牌。

五、代码示例

（一）授权码模式

以下是一个使用授权码模式的代码示例：

// 第三方应用请求授权
GET https://authorization-server.com/authorize?
    response_type=code&
    client_id=your-client-id&
    redirect_uri=your-redirect-uri

// 用户授权后，授权服务器重定向到第三方应用，并附带授权码
GET your-redirect-uri?code=authorization-code

// 第三方应用使用授权码换取访问令牌
POST https://authorization-server.com/token
Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code&
code=authorization-code&
redirect_uri=your-redirect-uri&
client_id=your-client-id&
client_secret=your-client-secret

（二）简化模式

以下是一个使用简化模式的代码示例：

// 第三方应用请求授权
GET https://authorization-server.com/authorize?
    response_type=token&
    client_id=your-client-id&
    redirect_uri=your-redirect-uri

// 用户授权后，授权服务器直接返回访问令牌
GET your-redirect-uri#access_token=access-token

（三）密码模式

以下是一个使用密码模式的代码示例：

POST /token HTTP/1.1
Host: server.example.com
Authorization: Basic czZCaGRSa3F0MzpnWDFmQmF0M2JW
Content-Type: application/x-www-form-urlencoded

grant_type=password&username=johndoe&password=A3ddj3w

（四）客户端模式

以下是一个使用客户端模式的代码示例：

POST /token HTTP/1.1
Host: server.example.com
Authorization: Basic czZCaGRSa3F0MzpnWDFmQmF0M2JW
Content-Type: application/x-www-form-urlencoded

grant_type=client_credentials

六、应用场景

（一）第三方登录

用户可以通过 QQ、微信、微博等第三方账号登录应用。

（二）API 授权访问

第三方应用通过 OAuth 2.0 协议访问 API 资源。

（三）企业级应用授权

企业内部应用通过 OAuth 2.0 协议实现用户授权。

七、注意事项

（一）安全性

OAuth 2.0 通过访问令牌和授权服务器实现安全性，但仍需注意令牌的保护。避免在不安全的网络环境中传输访问令牌，确保授权服务器和资源服务器的安全性。

（二）授权范围

在请求授权时，应明确告知用户授权范围，避免过度授权。

（三）令牌过期

访问令牌通常具有时效性，过期后需通过刷新令牌获取新的访问令牌。

八、总结

OAuth 2.0 是一种功能强大且灵活的授权协议，适用于多种应用场景。通过本文的介绍，相信读者已经对 OAuth 2.0 有了更深入的了解。无论你是初学者还是有一定基础的开发者，OAuth 2.0 都值得你深入学习和探索。希望本文能帮助你在学习 OAuth 2.0 的道路上越走越远，而不是“放弃”哦！