OAuth2知识点总结

OAuth2是什么？

OAuth2是一个授权协议。OAuth2.0框架能让第三方应用以有限的权限访问HTTP服务，可以通过构建资源拥有者与HTTP服务间的许可交互机制，让第三方应用代表资源拥有者访问服务，或者通过授予权限给第三方应用，让其代表自己访问服务。

我们需要关心如下角色：

• 资源拥有者：拥有资源权限的一个人；
• 受保护的资源：资源拥有者有权限访问的组件，大多数情况下是WebApi形式；
• 客户端：只要软件使用了受保护的API，它就是客户端；

通过以上组件最终达到的效果是：让客户端为资源拥有者访问受保护资源。用户身份认证直接在用户（和用户的浏览器）与授权服务器之间进行，这个过程对客户端应用不可见。这一重要特性避免了用户将自己的凭证透露给客户端应用，对抗这种反模式正是发明OAuth的原因。

OAuth2不能做什么？

• OAuth没有定义HTTP协议之外的情形；
• OAuth不是身份认证协议；
• OAuth没有定义用户对用户的授权机制；
• OAuth没有定义授权处理机制；
• OAuth没有定义令牌的格式；
• OAuth没有定义加密方式；
• OAuth不是单体协议；

OAuth2重要组件

• OAuth客户端：是代表资源拥有者访问受保护资源的软件；
• 受保护资源：能通过HTTP服务器进行访问，在访问时需要OAuth访问令牌。受保护资源需要验证收到的令牌，受保护资源对是否认可令牌拥有最终决定权；
• 资源拥有者：有权将访问权限授权给客户端的主体。在大多数情况下，资源拥有者是一个人;
• OAuth认证服务器：是一个HTTP服务，它在OAuth系统中充当中央组件，授权服务器对资源拥有者和客户端进行身份认证，让资源拥有者向客户端授权、为客户端颁发令牌、为受保护的资源校验令牌；

OAuth2细节：

• scope参数：使用空格分隔的字符串；
• 授权码许可流程：需结合前端信道和后端信道通信；

原文地址：http://www.cnblogs.com/bigstrong/p/16807169.html