40、OAuth 2.0、OpenID Connect 与 JSON Web Token 详解

OAuth 2.0、OpenID Connect 与 JSON Web Token 详解

1. OAuth 2.0 客户端应用的安全前提

使用特定授权类型的客户端应用若要安全使用该协议，需满足一些前提条件。由于应用需要处理客户端密钥、刷新令牌和授权码等敏感信息，因此必须谨慎存储和使用这些值。具体操作如下：
- 存储客户端密钥和刷新令牌时，要采用加密机制。
- 与授权服务器进行通信时，使用 HTTPS 协议，通信需基于 TLS 进行，防止网络入侵者获取交换的信息。

2. 隐式授权类型

隐式授权类型与授权码授权类型类似，但无需在获取访问令牌前获取授权码这一中间步骤。授权服务器会直接响应隐式授权请求并颁发访问令牌。其流程如下：

graph LR
    A[客户端应用] -->|重定向用户到授权服务器| B[授权服务器]
    B -->|打开用户代理提示输入凭证| C[用户代理（浏览器）]
    C -->|用户提交凭证| B
    B -->|验证通过，颁发访问令牌| C
    C -->|携带访问令牌重定向到客户端应用| A

• 请求示例 ：

GET https://localhost:8085/oauth/authorize?
            response_type=token&
            client_id=application_id&