oauth2.0认证和授权原理



所谓OAuth（即Open Authorization，开放授权），它是为用户资源授权提供了一种安全简单的标准，也就是说用户在访问第三方web或应用的时候，第三方不会知道用户的信息（登录密码等），现在基本都支持OAuth2.0版本了。

首先来看看我们在第三方使用oauth流程如下：

第一步：用户登录第三方网站，使用qq登录。

第二步：点击登录后，会跳到qq平台提示输入用户名和密码。

第三步：如果用户名和密码正确，会提示是否接受授权，如果授权成功，第三方网站就能访问你的资源了，qq头像、用户名等

认证和授权过程（包括三方）

　　1、服务提供方，用户使用服务提供方来存储受保护的资源，如照片，视频，联系人列表。

　　2、用户，存放在服务提供方的受保护的资源的拥有者。

　　3、客户端，要访问服务提供方资源的第三方应用，通常是网站。在认证过程之前，客户端要向服务提供者申请客户端标识。

       用户访问客户端的网站，想操作用户存放在服务提供方的资源。

　　客户端向服务提供方请求一个临时令牌。

　　服务提供方验证客户端的身份后，授予一个临时令牌。

　　客户端获得临时令牌后，将用户引导至服务提供方的授权页面请求用户授权。在这个过程中将临时令牌和客户端的回调连接发送给服务提供方。

　　用户在服务提供方的网页上输入用户名和密码，然后授权该客户端访问所请求的资源。

　　授权成功后，服务提供方引导用户返回客户端的网页。

　　客户端根据临时令牌从服务提供方那里获取访问令牌。

　　服务提供方根据临时令牌和用户的授权情况授予客户端访问令牌。

　　客户端使用获取的访问令牌访问存放在服务提供方上的受保护的资源。