OAuth2的理解

1.何谓OAuth2:

OAuth 是一个开放标准，该标准允许用户让第三方应用访问该用户在某一网站上存储的私密资源（如头像、照片、视频等），而在这个过程中无需将用户名和密码提供给第三方应用。实现这一功能是通过提供一个令牌（token），而不是用户名和密码来访问他们存放在特定服务提供者的数据。采用令牌（token）的方式可以让用户灵活的对第三方应用授权或者收回权限。

OAuth2 是 OAuth 协议的下一版本，但不向下兼容 OAuth 1.0。传统的 Web 开发登录认证一般都是基于 session 的，但是在前后端分离的架构中继续使用 session 就会有许多不便，因为移动端（Android、iOS、微信小程序等）要么不支持 cookie（微信小程序），要么使用非常不便，对于这些问题，使用 OAuth2 认证都能解决。例如 QQ 授权登录、微信授权登录、微博授权登录、GitHub 这种第三方授权登录等等都是利用OAuth2 来解决。

简单来说OAuth 就是一种授权机制。数据的所有者告诉系统，同意授权第三方应用进入系统，获取这些数据。系统从而产生一个短期的进入令牌（token），用来代替密码，供第三方应用使用。

2.OAuth2一共支持四种授权方式:

1.授权码模式：常见的第三方平台登录功能基本都是使用这种模式。

2.简化模式：简化模式是不需要客户端服务器参与，直接在浏览器中向授权服务器申请令牌（token），一般如果网站是纯静态页面则可以采用这种方式。

3.密码模式：密码模式是用户把用户名密码直接告诉客户端，客户端使用说这些信息向授权服务器申请令牌（token）。这需要用户对客户端高度信任，例如客户端应用和服务提供商就是同一家公司，我们自己做前后端分离登录就可以采用这种模式。

4.客户端模式：客户端模式是指客户端使用自己的名义而不是用户的名义向服务提供者申请授权，严格来说，客户端模式并不能算作 OAuth 协议要解决的问题的一种解决方案，但是，对于开发者而言，在一些前后端分离应用或者为移动端提供的认证授权服务器上使用这种模式还是非常方便的。

2.1授权码模式:

1.授权码模式是最安全并且使用最广泛的一种模式，在授权码模式中，我们分授权服务器和资源服务器，授权服务器用来派发 Token，拿着 Token 则可以去资源服务器获取资源，这两个服务器可以分开，也可以合并。
2.举个例子，我有一台服务器(代表第三方服务器)，有一个用户小明想用qq登录 于是他点击了qq登录，然后这是我们就向qq授权服务器发起请求,路径可能是这样的:

https://xxx.qq.com/oauth/authorize?response_type=code&client_id=client1&redirect_uri=www.baidu.com&scope=all

这里边有好几个参数，在后面的代码中我们都会用到，这里先和大家简单解释一下：

• response_type 表示授权类型，使用授权码模式的时候这里固定为 code，表示要求返回授权码(将来拿着这个授权码去获取 access_token)。

• client_id 表示客户端 id，也就是我服务器上应用的 id。举个栗子，如果我想让我的 应用程序接入微信登录功能，我肯定得去微信开放平台注册，去填入我自己应用的基本信息等等，弄完之后，微信会给我一个 APPID，也就是我这里的 client_id，所以，从这里可以看出，授权服务器在校验的时候，会做两件事：1.校验客户端的身份；2.校验用户身份。

• redirect_uri 表示用户登录在成功/失败后，跳转的地址（成功登录微信后，跳转到哪里www.baidu.com），跳转的时候，还会携带上一个授权码参数。

• scope 表示授权范围，即 www.baidu.com 这个网站拿着用户的 token 都能干啥（一般来说就是获取用户非敏感的基本信息）。

3.接下来第四步，我的应用拿着第三步获取到的 code 以及自己的 client_id 和 client_secret 以及其他一些信息去授权服务器请求令牌，qq的授权服务器在校验过这些数据之后，就会发送一个令牌回来。这个过程一般是在后端完成的，而不是利用 js 去完成。
4.接下来拿着这个 token，我们就可以去请求用户信息了。
一般情况下我们认为授权码模式是四种模式中最安全的一种模式，因为这种模式我们的 access_token 不用经过浏览器或者移动端 App，是直接从我们的后台发送到授权服务器上，这样就很大程度减少了 access_token 泄漏的风险。

2.2 简化模式

1.我的服务器，即第三方服务，要请求qq的登录授权

https://wx.qq.com/oauth/authorize?response_type=token&client_id=client1&redirect_uri=www.baidu.com&scope=all

这里的参数和前面授权码模式的基本相同，只有 response_type 的值不一样，这里是 token，表示要求授权服务器直接返回 access_token。
2.点击这个连接之后可能会跳到qq或者微信登录界面。
3.用户登录成功之后授权服务器会重定向到指定网址，同时携带上access_token。
这种做法很不安全，因为没有经过后台处理，请求路径暴露在外，除非对安全性要求不高，否则不建议使用。

2.3密码模式

1.密码模式有一个前提就是你高度信任第三方应用，举个不恰当的例子：如果我要在 www.baidu.com 这个网站上接入微信登录，我使用了密码模式，那你就要在 www.baidu.com 这个网站去输入微信的用户名密码，这肯定是不靠谱的，所以密码模式需要你非常信任第三方应用。微服务中有一个特殊的场景，就是服务之间的调用，用密码模式做鉴权是非常恰当不过的了。
2.仍旧是这个地址

 https://wx.qq.com/oauth/authorize?response_type=password&client_id=client1&username=aiya&password=xxxx

这里的参数和前面授权码模式的略有差异，response_type 的值不一样，这里是 password，表示密码式，另外多了用户名/密码参数，没有重定向的 redirect_uri ，因为这里不需要重定向。
3.微信校验过用户名/密码之后，直接在 HTTP 响应中把 access_token 返回给客户端。

2.4客户端模式

1.请求地址:

 https://api.weixin.qq.com/cgi-bin/token?grant_type=client_credential&client_id=APPID&client_secret=APPSECRET

这里有三个参数，含义如下：

• grant_type，获取access_token填写client_credential
• client_id 和 client_secret 用来确认客户端的身份
  2.授权服务器通过验证后，会直接返回 access_token 给客户端。只针对客户端，不针对用户。