OAuth 2.0 认证协议详解

一、OAuth 2.0 概述

OAuth 2.0 是一个关于授权(authorization)的开放网络标准，广泛应用于互联网授权场景。它允许第三方应用在用户授权的前提下访问用户在服务提供商那里存储的信息，而无需将用户名和密码提供给第三方应用。

核心特点：

• 使用令牌(Token)而非用户凭证进行授权
• 令牌具有特定性：一个令牌对应一个特定的第三方应用
• 令牌具有时效性和范围限制：只能在特定时间内访问特定资源

二、OAuth 2.0 应用场景

1. 企业内部统一认证：解决多个系统独立认证带来的管理复杂性问题
2. 单点登录(SSO)：一次登录，多个关联网站识别在线状态
3. 多平台登录：使用一个平台账号(如QQ)登录多个不同网站

三、OAuth 2.0 核心概念

1. 角色定义

• 资源所有者(Resource Owner)：拥有受保护资源的用户
• 客户端(Client)：请求访问受保护资源的应用
• 授权服务器(Authorization Server)：验证用户身份并颁发令牌
• 资源服务器(Resource Server)：托管受保护资源的服务器

2. 客户端注册

在使用OAuth 2.0前，客户端必须在授权服务器注册，提供以下信息：

• client_id：应用唯一标识(公开)
• client_secret：应用密钥(保密)
• redirect_uri/callback_url：授权完成后的回调地址

四、OAuth 2.0 授权模式

OAuth 2.0 定义了四种主要授权模式：

1. 授权码模式(Authorization Code)

最完整、最安全的模式，适用于Web服务器端应用和原生App

流程：

1. 客户端引导用户到授权服务器
2. 用户授权后，授权服务器返回授权码(通过浏览器)
3. 客户端用授权码向授权服务器换取访问令牌(后端通信)
4. 授权服务器返回访问令牌和刷新令牌

请求参数：

• response_type=code
• client_id
• redirect_uri
• scope(可选)
• state(推荐，防CSRF)

令牌获取请求：

POST /token HTTP/1.1
Host: server.example.com
Content-Type: application/x-www-form-urlencoded

client_id=XXX&client_secret=XXX&code=XXX&grant_type=authorization_code&redirect_uri=XXX

2. 简化模式(Implicit)

适用于浏览器单页应用，直接返回访问令牌(不经过授权码步骤)

特点：

• 访问令牌通过浏览器前端传递
• 不支持刷新令牌
• 安全性较低

请求参数：

• response_type=token
• 其他参数与授权码模式类似

3. 密码模式(Resource Owner Password Credentials)

用户直接提供凭证给客户端，适用于受信任的第一方应用

特点：

• 需要用户提供用户名密码
• 一般不支持刷新令牌
• 仅适用于高度信任的客户端

请求示例：

POST /token HTTP/1.1
Host: server.example.com
Content-Type: application/x-www-form-urlencoded

client_id=XXX&grant_type=password&username=XXX&password=XXX

4. 客户端模式(Client Credentials)

最简单的模式，仅验证客户端身份，适用于服务器间通信

特点：

• 不需要用户参与
• 仅验证客户端凭证
• 适用于后台服务间通信

请求示例：

POST /token HTTP/1.1
Host: server.example.com
Authorization: Basic base64(client_id:client_secret)
Content-Type: application/x-www-form-urlencoded

grant_type=client_credentials

五、令牌响应

成功响应包含：

• access_token：访问令牌
• token_type：令牌类型(如Bearer)
• expires_in：过期时间(秒)
• refresh_token：刷新令牌(可选)

错误响应包含：

• error：错误代码
• error_description：错误描述(可选)
• error_uri：错误详情URI(可选)

六、OAuth 2.0 安全设计

1. 客户端验证：严格验证client_id和redirect_uri
2. 敏感信息保护：
   • 安全存储client_secret、token等
   • 使用TLS加密传输
3. 令牌管理：
   • 设置合理的过期时间
   • 实现刷新令牌机制
4. 防CSRF：使用state参数
5. 令牌不可预测性：使用足够强度的随机数生成
6. 防钓鱼：教育用户识别钓鱼攻击

七、最佳实践

1. Web应用优先使用授权码模式
2. 单页应用使用简化模式时需注意安全风险
3. 仅在第一方应用中使用密码模式
4. 服务器间通信使用客户端模式
5. 始终验证redirect_uri
6. 使用state参数防止CSRF
7. 令牌设置合理有效期
8. 敏感操作要求重新认证

八、常见错误代码