Oauth2详解-介绍(一)

OAuth（开放授权）是一个开放标准，允许用户授权第三方移动应用访问他们存储在另外的服务提供者上的信息，而不需要将用户名和密码提供给第三方移动应用或分享他们数据的所有内容，OAuth2.0是OAuth协议的延续版本，但不向后兼容OAuth 1.0即完全废止了OAuth1.0。

第三方应用授权登录：在APP或者网页接入一些第三方应用时，时长会需要用户登录另一个合作平台，比如QQ，微博，微信的授权登录。

原生app授权：app登录请求后台接口，为了安全认证，所有请求都带token信息，如果登录验证、请求后台数据。

前后端分离单页面应用（spa）：前后端分离框架，前端请求后台数据，需要进行oauth2安全认证，比如使用vue、react后者h5开发的app。

OAuth 2.0的运行流程如下图，摘自RFC 6749。

授权码模式（authorization code）是功能最完整、流程最严密的授权模式。

（1）用户访问客户端，后者将前者导向认证服务器，假设用户给予授权，认证服务器将用户导向客户端事先指定的"重定向URI"（redirection URI），同时附上一个授权码。

（2）客户端收到授权码，附上早先的"重定向URI"，向认证服务器申请令牌：GET /oauth/token?response_type=code&client_id=test&redirect_uri=重定向页面链接。请求成功返回code授权码，一般有效时间是10分钟。

（3）认证服务器核对了授权码和重定向URI，确认无误后，向客户端发送访问令牌（access token）和更新令牌（refresh token）。POST /oauth/token?response_type=authorization_code&code=SplxlOBeZQQYbYS6WxSbIA&redirect_uri=重定向页面链接。

简化模式（implicit grant type）不通过第三方应用程序的服务器，直接在浏览器中向认证服务器申请令牌，跳过了"授权码"这个步骤，因此得名。所有步骤在浏览器中完成，令牌对访问者是可见的，且客户端不需要认证。

流程步骤：

请求URL：

密码模式（Resource Owner Password Credentials Grant）中，用户向客户端提供自己的用户名和密码。客户端使用这些信息，向"服务商提供商"索要授权。在这种模式中，用户必须把自己的密码给客户端，但是客户端不得储存密码。这通常用在用户对客户端高度信任的情况下。一般不支持refresh token。

步骤说明：

（A）用户向客户端提供用户名和密码。

（B）客户端将用户名和密码发给认证服务器，向后者请求令牌。

（C）认证服务器确认无误后，向客户端提供访问令牌。

<article class="hentry">

指客户端以自己的名义，而不是以用户的名义，向"服务提供商"进行认证。严格地说，客户端模式并不属于OAuth框架所要解决的问题。在这种模式中，用户直接向客户端注册，客户端以自己的名义要求"服务提供商"提供服务，其实不存在授权问题。

它的步骤如下：

（A）客户端向认证服务器进行身份认证，并要求一个访问令牌。

（B）认证服务器确认无误后，向客户端提供访问令牌。

A步骤中，客户端发出的HTTP请求，包含以下参数：

这还是一个标题党。

OAuth2 现在已经是开放授权协议的事实标准，你可以看到几乎所有的 xxx 开放平台均采取的 OAuth2 协议来进行授权。而在 Authorization Code 模式的基础上结合 JWT ，标准化的 userinfo endpoint 和服务发现，就成了 OpenID-Connect。当然即便不加上这些限定，OAuth2 在 Authorization Code 模式下，也通常被用作统一身份认证的解决方案提供给用户。而由于 OAuth2 与 CAS 不同，缺乏 Apereo CAS 这样的重量级产品来对标（话说回来，Apereo CAS 现在自己就支持 OAuth2 来着）。于是市场上的 OAuth2 实现可谓群魔乱舞，槽点一时难以穷尽。

个人建议，在选取 OAuth2 产品时，务必通过 oauth playground 进行测试，以验证协议实现的标准性，避免将来踩坑。而如果需要自己临时起一个 OAuth2 服务做测试的话嘛~~~

是的，搭一个 OAuth 服务器 5 分钟就够了。

是的，Apereo CAS 现在也支持 OAuth2 协议了，所以如果你已经按照 15 分钟部署一个 CAS 服务并对接 Shibboleth-IdP 3.4.6 的路程部署好了 CAS 服务的话，那么只需要略微的调整，就可以让他支持 OAuth2 了，5 分钟足矣。

下文假定已经安装好了 shibboleth-idp-3.4.6 和 cas 6.1 ，并使用 httpd 方式代理发布。

设置好 clientId ， clientSecret ，设置好允许的 serviceId ,也就是 redirect_uri 。

此处默认的值是 NEST ，此时 userinfo 的中，属性部分是带 attributes 的子结构的, 如果是 FLAT 的话，则会去掉结构铺平。以下示例引用自 Apereo CAS 官网

Shibboleth-IdP 的 OAuth2 对接需要去掉结构，所以我们使用 FLAT 模式

如果没有 CAS 部署的前序工作的话，5 分钟的时间可能不太够。但是既然 FLAG 已经立好了。。。我们可以用 oauth-server-lite 来快速的构建一个 oauth 服务。

配置文件的示例。考虑到 5 分钟还是有点紧张，我们只挑重要的部分修改。把 ldap 部分的配置修改为实际的 ldap 参数，把 http->session_options->domain 修改为实际的服务器域名。然后执行 ./control start 运行

其实 3.4.6 之后，由于新版插件均采用标准的 Externel 模式运行，因此 IdP 的 OAuth2 对接和 CAS 对接基本是完全一致的 —— 实际上 OAuth2 插件本来就是在 CAS 插件的基础上改的。有变化的地方仅 2 处。

更多细节可以关注 上海教育认证中心-IdP-Oauth2 对接 中的配置说明。

CC BY-SA

我的博客即将同步至 OSCHINA 社区，这是我的 OSCHINA ID：小冯冯，邀请大家一同入驻： https://www.oschina.net/sharing-plan/apply

---