Oauth2 向客户端授权的四种模式

最新推荐文章于 2025-09-17 04:41:14 发布
转载 最新推荐文章于 2025-09-17 04:41:14 发布 · 2.8k 阅读 · 4 ·
CC 4.0 BY-SA版权
原文链接：http://www.ruanyifeng.com/blog/2014/05/oauth_2_0.html
文章标签：

#Oauth2

客户端必须得到用户的授权（authorization grant），才能获得令牌（access token）。OAuth 2.0定义了四种授权方式。

  1. 授权码模式（authorization code）
  2. 简化模式（implicit）
  3. 密码模式（resource owner password credentials）
  4. 客户端模式（client credentials）

一、授权码模式

授权码模式（authorization code）是功能最完整、流程最严密的授权模式。它的特点就是通过客户端的后台服务器，与"服务提供商"的认证服务器进行互动。

它的步骤如下：

（A）用户访问客户端，后者将前者导向认证服务器。

（B）用户选择是否给予客户端授权。

（C）假设用户给予授权，认证服务器将用户导向客户端事先指定的"重定向URI"（redirection URI），同时附上一个授权码。

（D）客户端收到授权码，附上早先的"重定向URI"，向认证服务器申请令牌。这一步是在客户端的后台的服务器上完成的，对用户不可见。

（E）认证服务器核对了授权码和重定向URI，确认无误后，向客户端发送访问令牌（access token）和更新令牌（refresh token）。

下面是上面这些步骤所需要的参数。

A步骤中，客户端申请认证的URI，包含以下参数：

  • response_type：表示授权类型，必选项，此处的值固定为"code"
  • client_id：表示客户端的ID，必选项
  • redirect_uri：表示重定向URI，可选项
  • scope：表示申请的权限范围，可选项
  • state：表示客户端的当前状态，可以指定任意值，认证服务器会原封不动地返回这个值。

下面是一个例子。


GET /authorize?response_type=code&client_id=s6BhdRkqt3&state=xyz
        &redirect_uri=https%3A%2F%2Fclient%2Eexample%2Ecom%2Fcb HTTP/1.1
Host: server.example.com

C步骤中，服务器回应客户端的URI，包含以下参数：

  • code：表示授权码，必选项。该码的有效期应该很短，通常设为10分钟，客户端只能使用该码一次，否则会被授权服务器拒绝。该码与客户端ID和重定向URI，是一一对应关系。
  • state：如果客户端的请求中包含这个参数，认证服务器的回应也必须一模一样包含这个参数。

下面是一个例子。

HTTP/1.1 302 Found
Location: https://client.example.com/cb?code=SplxlOBeZQQYbYS6WxSbIA
          &state=xyz

D步骤中，客户端向认证服务器申请令牌的HTTP请求，包含以下参数：

  • grant_type：表示使用的授权模式，必选项，此处的值固定为"authorization_code"。
  • code：表示上一步获得的授权码，必选项。
  • redirect_uri：表示重定向URI，必选项，且必须与A步骤中的该参数值保持一致。
  • client_id：表示客户端ID，必选项。

下面是一个例子。


POST /token HTTP/1.1
Host: server.example.com
Authorization: Basic czZCaGRSa3F0MzpnWDFmQmF0M2JW
Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code&code=SplxlOBeZQQYbYS6WxSbIA
&redirect_uri=https%3A%2F%2Fclient%2Eexample%2Ecom%2Fcb

E步骤中，认证服务器发送的HTTP回复，包含以下参数：

  • access_token：表示访问令牌，必选项。
  • token_type：表示令牌类型，该值大小写不敏感，必选项，可以是bearer类型或mac类型。
  • expires_in：表示过期时间，单位为秒。如果省略该参数，必须其他方式设置过期时间。
  • refresh_token：表示更新令牌，用来获取下一次的访问令牌，可选项。
  • scope：表示权限范围，如果与客户端申请的范围一致，此项可省略。

下面是一个例子。


     HTTP/1.1 200 OK
     Content-Type: application/json;charset=UTF-8
     Cache-Control: no-store
     Pragma: no-cache

     {
       "access_token":"2YotnFZFEjr1zCsicMWpAA",
       "token_type":"example",
       "expires_in":3600,
       "refresh_token":"tGzv3JOkF0XG5Qx2TlKWIA",
       "example_parameter":"example_value"
     }

从上面代码可以看到，相关参数使用JSON格式发送（Content-Type: application/json）。此外，HTTP头信息中明确指定不得缓存。

二、简化模式

简化模式（implicit grant type）不通过第三方应用程序的服务器，直接在浏览器中向认证服务器申请令牌，跳过了"授权码"这个步骤，因此得名。所有步骤在浏览器中完成，令牌对访问者是可见的，且客户端不需要认证。

它的步骤如下：

（A）客户端将用户导向认证服务器。

（B）用户决定是否给于客户端授权。

（C）假设用户给予授权，认证服务器将用户导向客户端指定的"重定向URI"，并在URI的Hash部分包含了访问令牌。

（D）浏览器向资源服务器发出请求，其中不包括上一步收到的Hash值。

（E）资源服务器返回一个网页，其中包含的代码可以获取Hash值中的令牌。

（F）浏览器执行上一步获得的脚本，提取出令牌。

（G）浏览器将令牌发给客户端。

下面是上面这些步骤所需要的参数。

A步骤中，客户端发出的HTTP请求，包含以下参数：

  • response_type：表示授权类型，此处的值固定为"token"，必选项。
  • client_id：表示客户端的ID，必选项。
  • redirect_uri：表示重定向的URI，可选项。
  • scope：表示权限范围，可选项。
  • state：表示客户端的当前状态，可以指定任意值，认证服务器会原封不动地返回这个值。

下面是一个例子。


    GET /authorize?response_type=token&client_id=s6BhdRkqt3&state=xyz
        &redirect_uri=https%3A%2F%2Fclient%2Eexample%2Ecom%2Fcb HTTP/1.1
    Host: server.example.com

C步骤中，认证服务器回应客户端的URI，包含以下参数：

  • access_token：表示访问令牌，必选项。
  • token_type：表示令牌类型，该值大小写不敏感，必选项。
  • expires_in：表示过期时间，单位为秒。如果省略该参数，必须其他方式设置过期时间。
  • scope：表示权限范围，如果与客户端申请的范围一致，此项可省略。
  • state：如果客户端的请求中包含这个参数，认证服务器的回应也必须一模一样包含这个参数。

下面是一个例子。


     HTTP/1.1 302 Found
     Location: http://example.com/cb#access_token=2YotnFZFEjr1zCsicMWpAA
               &state=xyz&token_type=example&expires_in=3600

在上面的例子中，认证服务器用HTTP头信息的Location栏，指定浏览器重定向的网址。注意，在这个网址的Hash部分包含了令牌。

根据上面的D步骤，下一步浏览器会访问Location指定的网址，但是Hash部分不会发送。接下来的E步骤，服务提供商的资源服务器发送过来的代码，会提取出Hash中的令牌。

三、密码模式

密码模式（Resource Owner Password Credentials Grant）中，用户向客户端提供自己的用户名和密码。客户端使用这些信息，向"服务商提供商"索要授权。

在这种模式中，用户必须把自己的密码给客户端，但是客户端不得储存密码。这通常用在用户对客户端高度信任的情况下，比如客户端是操作系统的一部分，或者由一个著名公司出品。而认证服务器只有在其他授权模式无法执行的情况下，才能考虑使用这种模式。

它的步骤如下：

（A）用户向客户端提供用户名和密码。

（B）客户端将用户名和密码发给认证服务器，向后者请求令牌。

（C）认证服务器确认无误后，向客户端提供访问令牌。

B步骤中，客户端发出的HTTP请求，包含以下参数：

  • grant_type：表示授权类型，此处的值固定为"password"，必选项。
  • username：表示用户名，必选项。
  • password：表示用户的密码，必选项。
  • scope：表示权限范围，可选项。

下面是一个例子。


     POST /token HTTP/1.1
     Host: server.example.com
     Authorization: Basic czZCaGRSa3F0MzpnWDFmQmF0M2JW
     Content-Type: application/x-www-form-urlencoded

     grant_type=password&username=johndoe&password=A3ddj3w

C步骤中，认证服务器向客户端发送访问令牌，下面是一个例子。


     HTTP/1.1 200 OK
     Content-Type: application/json;charset=UTF-8
     Cache-Control: no-store
     Pragma: no-cache

     {
       "access_token":"2YotnFZFEjr1zCsicMWpAA",
       "token_type":"example",
       "expires_in":3600,
       "refresh_token":"tGzv3JOkF0XG5Qx2TlKWIA",
       "example_parameter":"example_value"
     }

上面代码中，各个参数的含义参见《授权码模式》一节。

整个过程中，客户端不得保存用户的密码。

四、客户端模式

客户端模式（Client Credentials Grant）指客户端以自己的名义，而不是以用户的名义，向"服务提供商"进行认证。严格地说，客户端模式并不属于OAuth框架所要解决的问题。在这种模式中，用户直接向客户端注册，客户端以自己的名义要求"服务提供商"提供服务，其实不存在授权问题。

它的步骤如下：

（A）客户端向认证服务器进行身份认证，并要求一个访问令牌。

（B）认证服务器确认无误后，向客户端提供访问令牌。

A步骤中，客户端发出的HTTP请求，包含以下参数：

  • granttype：表示授权类型，此处的值固定为"clientcredentials"，必选项。
  • scope：表示权限范围，可选项。

     POST /token HTTP/1.1
     Host: server.example.com
     Authorization: Basic czZCaGRSa3F0MzpnWDFmQmF0M2JW
     Content-Type: application/x-www-form-urlencoded

     grant_type=client_credentials

认证服务器必须以某种方式，验证客户端身份。

B步骤中，认证服务器向客户端发送访问令牌，下面是一个例子。


     HTTP/1.1 200 OK
     Content-Type: application/json;charset=UTF-8
     Cache-Control: no-store
     Pragma: no-cache

     {
       "access_token":"2YotnFZFEjr1zCsicMWpAA",
       "token_type":"example",
       "expires_in":3600,
       "example_parameter":"example_value"
     }

上面代码中，各个参数的含义参见《授权码模式》一节。

五、更新令牌

如果用户访问的时候，客户端的"访问令牌"已经过期，则需要使用"更新令牌"申请一个新的访问令牌。

客户端发出更新令牌的HTTP请求，包含以下参数：

  • granttype：表示使用的授权模式，此处的值固定为"refreshtoken"，必选项。
  • refresh_token：表示早前收到的更新令牌，必选项。
  • scope：表示申请的授权范围，不可以超出上一次申请的范围，如果省略该参数，则表示与上一次一致。

下面是一个例子。


     POST /token HTTP/1.1
     Host: server.example.com
     Authorization: Basic czZCaGRSa3F0MzpnWDFmQmF0M2JW
     Content-Type: application/x-www-form-urlencoded

     grant_type=refresh_token&refresh_token=tGzv3JOkF0XG5Qx2TlKWIA

（完）

原文链接：http://www.ruanyifeng.com/blog/2014/05/oauth_2_0.html

 

个人才疏学浅、信手涂鸦，感兴趣的朋友请移步至个人公众号，谢谢支持😜😜......

公众号：wenyixicodedog

OAuth2.0 四种授权模式（图解）
流楚丶格念的博客
07-21 2万+
fragment主要是用来标识URI所标识资源里的某个资源，在URI的末尾通过（#）作为fragment的开头，其中#不属于fragment的值。（1）资源拥有者打开客户端，客户端要求资源拥有者给予授权，它将浏览器被重定向到授权服务器，重定向时会附加客户端的身份信息。（1）资源拥有者打开客户端，客户端要求资源拥有者给予授权，它将浏览器被重定向到授权服务器，重定向时会附加客户端的身份信息。（1）客户端向授权服务器发送自己的身份信息，并请求令牌（access_token）...
Java的oauth2.0 服务端与客户端的实现 （完整源码、demo）
10-01
Java的oauth2.0 服务端与客户端的实现.zip 封装了oauth2.0的基本架构和实现，对照我的博客http://blog.youkuaiyun.com/jing12062011/article/details/78147306使用该源码。 下载项目压缩包，解压，里面两个maven项目：oauthserver和oauthclient01，分别对应oauth服务端和客户端。 服务端对应的数据库sql文件在源码压缩包里可以看到。 两个项目分别用8082端口（服务端端口）和8081端口（客户端端口）部署并启动。 输入客户端地址：http://localhost:8081/oauthclient01/index，点击到服务端请求资源，就可以得到服务端的资源。
OAuth2.0认证和授权原理（续）
weixin_34194702的博客
10-16 351
2019独角兽企业重金招聘Python工程师标准>>> ...
OAuth2客户端模式实战：pig平台服务间认证授权方案
最新发布
gitblog_00153的博客
09-17 977
在分布式系统架构中，服务间调用的认证授权一直是企业级应用的核心挑战。传统单体应用的session共享方案在微服务环境下存在三大痛点： 1. **会话状态共享难题**：多实例部署时，session复制或集中存储会导致性能瓶颈与一致性问题 2. **服务身份认证缺失**：内部服务直接暴露接口存在越权风险，缺乏细粒度的访问控制 3. **认证协议兼容性差**：不同语言编写的服务间难以实现统一的认证机制...
OAuth2四种不同的标准模式
记事本
06-10 5597
OAuth2标准为了应对不同的场景，设计了四种不同的标准模式。 1、授权码模式 授权码模式是四种模式中最繁琐也是最安全的一种模式。 client向资源服务器请求资源，被重定向到授权服务器（AuthorizationServer） 浏览器向资源拥有者索要授权，之后将用户授权发送给授权服务器 授权服务器将授权码（AuthorizationCode）转经浏览器发送给client c...
SpringSecurityOauth2（四种模式）
qq_45597391的博客
06-19 1万+
Oauth2.0是目前流行的授权机制，用于授权第三方应用，获取数据。
Java的oauth2.0 服务端与客户端的实现
热门推荐
jing12062011的博客
10-01 10万+
oauth原理简述 oauth本身不是技术，而是一项资源授权协议，重点是协议！Apache基金会提供了针对Java的oauth封装。我们做Java web项目想要实现oauth协议进行资源授权访问，直接使用该封装就可以。 想深入研究原理的 可以参考：阮一峰的博客以及张开涛的博客 借用开涛老师一张图，就是整个oauth2.0 的协议实现原理，所有的技术层面的开发都是围绕这张图。
oAuth2 客户端授权模式
10-23 1450
https://www.jianshu.com/p/c1c79197b724 概述 客户端必须得到用户的授权（authorization grant），才能获得令牌（access token）。oAuth 2.0 定义了四种授权方式。 implicit：简化模式，不推荐使用 authorization code：授权码模式 resource owner password credenti...
Spring Boot项目中实现OAuth2客户端模式（Client Credentials Grant Type）
lucky_love816的博客
09-13 2366
创建一个实现了ClientDetailsService接口的服务类，用于加载客户端详情。
Spring Security OAuth2 授权码模式的实现
08-18
Spring Security OAuth2 授权码模式是 OAuth 2.0 授权流程中的一种常见模式，该模式要求用户登录并对第三方应用（客户端）进行授权，出示授权码交给客户端，客户端凭授权码换取 access_token（访问凭证）。...
SpringBoot+Spring Security Oauth2实现客户端授权
qq_33460562的博客
02-23 4万+
框架使用SpringBoot + Spring Security Oauth2 主要完成了客户端授权 可以通过mysql数据库读取当前客户端表信息进行验证，token存储在数据库中 1.引入依赖 oauth2 依赖于spring security，需要引入spring， mysql，redis， mybatis <dependencies> &am
java实现oauth2.0服务端+客户端（含JWT）
12-15
基于MAVEN+OLTU开源代码实现javaOauth2.0前后端，数据加密使用MD5。
Oauth2实现java
07-01
oauth本身不是技术，而是一项资源授权协议，重点是协议！Apache基金会提供了针对Java的oauth封装。我们做Java web项目想要实现oauth协议进行资源授权访问，直接使用该封装就可以。
oauth2密码模式java版
12-12
oauth2密码模式的java版本，服务端和客户端，希望能帮助到大家
OAuth2.0概述
qq_43843037的博客
01-24 1万+
OAuth2.0概述 OAuth（Open Authorization）是一个关于授权（authorization）的开放网络标准，允许用户授权第三 方应用访问他们存储在另外的服务提供者上的信息，而不需要将用户名和密码提供给第三方移动应用或分享他们数据的所有内容。OAuth在全世界得到广泛应用，目前的版本是2.0版。 OAuth协议：https://tools.ietf.org/html/rfc6749 协议特点： 简单：不管是OAuth服务提供者还是应用开发者，都很易于理解与使用； 安全：没有涉及
【OAuth 2.0】授权模式
小秀的博客
10-05 2511
OAuth是一个关于授权( authorization )的开放网焰标准协议，简单理解就是一种授权机制，它是在客户端和资源所有者之间的授权层，用来分离两种不同的角色。在资源所有者同意并向客户端颁发令牌后，客户端携带令牌可以访问资源所有者的资源。OAuh2.0是OAuth协议的一个版本，2.0版本不兼容1.0版本，相当于1.0版本已经废弃。OAuth就是一种授权机制.数据的所有者告诉系统，同意授权第三方应用进入系统，获取这些数据。
Spring Security oAuth2 客户端授权模式
qq_44758028的博客
07-19 3914
Spring Security oAuth2 客户端授权模式 概述 客户端必须得到用户的授权（authorization grant），才能获得令牌（access token）。oAuth 2.0 定义了四种授权方式。 implicit：简化模式，不推荐使用 authorization code：授权码模式 resource owner password credentials：密码模式 cli...
OAuth2.0四种模式的详解
weixin_47713590的博客
09-25 2153
授权码模式：最安全，适合 Web 应用程序，涉及用户授权和服务器端代码交换。简化模式：适用于前端应用，访问令牌直接暴露在 URL 中，适合不需要高安全性的应用。密码模式：用于高信任度的环境，用户直接向客户端提供凭证，安全性较低。客户端模式：用于应用之间的通信，没有用户参与，适合后台服务的交互。不同的授权模式根据应用场景、客户端类型和安全要求的不同有着各自的适用范围，选择合适的模式可以提高系统的安全性和易用性。
Spring+Security+oAuth2+客户端授权模式
09-13
Spring Security OAuth2 客户端授权模式是 OAuth2 协议中的一种授权方式，适用于客户端应用代表自身而非最终用户进行请求的场景。以下是关于其使用与实现的相关信息： ### 基本概念 客户端授权模式（Client Credentials Grant）允许客户端应用使用自己的凭证（客户端 ID 和客户端密钥）直接从授权服务器获取访问令牌，而无需用户的交互。这种模式通常用于客户端应用需要访问受保护资源，且不需要代表特定用户的情况，例如系统之间的 API 调用。 ### 使用方法 #### 1. 添加依赖 在 Maven 项目中，需要添加 Spring Security OAuth2 相关的依赖： ```xml <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-oauth2-client</artifactId> </dependency> <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-oauth2-resource-server</artifactId> </dependency> ``` #### 2. 配置授权服务器信息 在 `application.properties` 或 `application.yml` 中配置授权服务器的信息，包括客户端 ID、客户端密钥、令牌端点等： ```yaml spring: security: oauth2: client: registration: my-client: client-id: your-client-id client-secret: your-client-secret authorization-grant-type: client_credentials scope: read,write provider: my-provider: token-uri: https://example.com/oauth2/token ``` #### 3. 配置 Spring Security 创建一个配置类来配置 Spring Security，启用 OAuth2 客户端授权模式： ```java import org.springframework.context.annotation.Bean; import org.springframework.context.annotation.Configuration; import org.springframework.security.config.annotation.web.builders.HttpSecurity; import org.springframework.security.config.annotation.web.configuration.EnableWebSecurity; import org.springframework.security.oauth2.client.registration.ClientRegistrationRepository; import org.springframework.security.oauth2.client.web.OAuth2AuthorizedClientRepository; import org.springframework.security.oauth2.client.web.reactive.function.client.ServletOAuth2AuthorizedClientExchangeFilterFunction; import org.springframework.security.web.SecurityFilterChain; import org.springframework.web.reactive.function.client.WebClient; @Configuration @EnableWebSecurity public class SecurityConfig { @Bean public SecurityFilterChain securityFilterChain(HttpSecurity http) throws Exception { http .authorizeRequests() .anyRequest().authenticated() .and() .oauth2Client(); return http.build(); } @Bean public WebClient webClient(ClientRegistrationRepository clientRegistrationRepository, OAuth2AuthorizedClientRepository authorizedClientRepository) { ServletOAuth2AuthorizedClientExchangeFilterFunction oauth2Client = new ServletOAuth2AuthorizedClientExchangeFilterFunction( clientRegistrationRepository, authorizedClientRepository); oauth2Client.setDefaultClientRegistrationId("my-client"); return WebClient.builder() .apply(oauth2Client.oauth2Configuration()) .build(); } } ``` #### 4. 使用访问令牌访问受保护资源 在服务层中，可以使用 `WebClient` 来获取访问令牌并访问受保护资源： ```java import org.springframework.beans.factory.annotation.Autowired; import org.springframework.stereotype.Service; import org.springframework.web.reactive.function.client.WebClient; @Service public class ResourceService { @Autowired private WebClient webClient; public String getResource() { return webClient.get() .uri("https://example.com/api/resource") .retrieve() .bodyToMono(String.class) .block(); } } ``` ### 实现方案 #### 1. 授权服务器端实现 授权服务器需要实现 OAuth2 协议的相关端点，包括令牌端点。可以使用 Spring Security OAuth2 提供的 `AuthorizationServerConfigurerAdapter` 来配置授权服务器： ```java import org.springframework.context.annotation.Configuration; import org.springframework.security.oauth2.config.annotation.configurers.ClientDetailsServiceConfigurer; import org.springframework.security.oauth2.config.annotation.web.configuration.AuthorizationServerConfigurerAdapter; import org.springframework.security.oauth2.config.annotation.web.configuration.EnableAuthorizationServer; @Configuration @EnableAuthorizationServer public class AuthorizationServerConfig extends AuthorizationServerConfigurerAdapter { @Override public void configure(ClientDetailsServiceConfigurer clients) throws Exception { clients.inMemory() .withClient("your-client-id") .secret("your-client-secret") .authorizedGrantTypes("client_credentials") .scopes("read,write"); } } ``` #### 2. 资源服务器端实现 资源服务器需要验证接收到的访问令牌的有效性，并根据令牌中的信息来授权请求。可以使用 Spring Security OAuth2 提供的 `ResourceServerConfigurerAdapter` 来配置资源服务器： ```java import org.springframework.context.annotation.Configuration; import org.springframework.security.oauth2.config.annotation.web.configuration.EnableResourceServer; import org.springframework.security.oauth2.config.annotation.web.configuration.ResourceServerConfigurerAdapter; import org.springframework.security.oauth2.config.annotation.web.configurers.ResourceServerSecurityConfigurer; @Configuration @EnableResourceServer public class ResourceServerConfig extends ResourceServerConfigurerAdapter { @Override public void configure(ResourceServerSecurityConfigurer resources) throws Exception { resources.resourceId("resource-id"); } } ``` ### 总结 通过以上步骤，可以实现 Spring Security OAuth2 客户端授权模式的使用。客户端应用可以使用自己的凭证从授权服务器获取访问令牌，并使用该令牌访问受保护资源。授权服务器负责验证客户端的凭证并发放访问令牌，资源服务器负责验证访问令牌的有效性并授权请求。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值