33、Web服务授权与数据表示格式解析

Web服务授权与数据表示格式解析

1. Web服务授权机制

1.1 基本授权原理

Web应用程序可凭借授权令牌（如 AuthSub token="IFM29SdTSpKL77INCn" ）以终端用户的身份进行Web服务调用，而无需了解终端用户的具体信息。认证信息不会离开授权域名（如 google.com ），且授权令牌仅对一次请求有效。

1.2 不同类型应用的授权方式

1.2.1 有Web界面的应用

对于具有Web界面的应用，基于浏览器的用户 - 客户端授权是合理的。用户在浏览器中操作，不信任运行在远程服务器上的Web应用，但信任自己的浏览器。以Google Calendar为例，其授权流程如下：

graph LR
    A[calendar.example.com] -->|Browser redirect| B[Google auth page?next=calendar.example.com/my]
    B -->|Display| C{OK, I trust example.com}
    C -->|Decision| D[Google username/password]
    D -->|Browser redirect| E[calendar.example.com/my?token=IFM29…]
    E -->|Web service call| F[Google calendar]