开放平台_OAuth2.0

为什么出现oauth2.0

1 oauth1.0对手机客户端，移动设备等非server第三方的支持不好。其实oauth1.0也是可以支持手机客户端，移动设备等，也有相应的流程。但是oauth1.0是将多种流程合并成了一种，而事实证明，这种合并的流程体验性非常差

2 oauth1.0的三步认证过程比较繁琐和复杂，对第三方开发者增加了极大的开发难度

3 oauth1.0的加密需求过于复杂，第三方开发者使用oauth之前需要花费精力先实现oauth1.0的加密算法

4 oauth1.0的拓展性不够好

5 oauth1.0生成的access_token要求是永久有效的，这导致的问题是网站的安全性和破坏网站的架构

因此出现了oauth2.0

oauth2.0针对1.0的各种问题提供了解决方法：

1 oauth2.0提出了多种流程，各个客户端按照实际情况选择不同的流程来获取access_token。这样就解决了对移动设备等第三方的支持，也解决了拓展性的问题

2 oauth2.0删除了繁琐的加密算法。利用了https传输对认证的安全性进行了保证

3 oauth2.0的认证流程一般只有2步，对开发者来说，减轻了负担

4 oauth2.0提出了access_token的更新方案，获取access_token的同时也获取refresh_token, access_token是有过期时间的，refresh_token的过期时间较长，这样能随时使用refresh_token对access_token进行更新

oauth2.0的现状

oauth2.0截止到2011/8/31 为止已经发布更新了20个版本，下面是oauth2.0的ietf标准文档：

http://tools.ietf.org/html/draft-ietf-oauth-v2-20

oauth2.0得到了越来越多大公司的支持，比如microsoft，yahoo等，也在实际使用过程中不断得到优化和完善，oauth2.0已经成为了业界通用和使用的标准。

oauth2.0的实现

oauth2.0有许多种流程，分别适应不同的第三方应用，并且这些流程数目还在不断增加和完善中，一个网站可以实现一种或多种流程

比如最典型的6中流程有 :

User-Agent Flow 客户端运行于用户代理内（典型如web浏览器）。

Web Server Flow 客户端是web服务器程序的一部分，通过http request接入，这是OAuth 1.0提供的流程的简化版本。

Device Flow 适用于客户端在受限设备上执行操作，但是终端用户单独接入另一台电脑或者设备的浏览器

Username and Password Flow 这个流程的应用场景是，用户信任客户端处理身份凭据，但是仍然不希望客户端储存他们的用户名和密码，这个流程仅在用户高度信任客户端时才适用。

Client Credentials Flow 客户端适用它的身份凭据去获取access token，这个流程支持2-legged OAuth的场景。

Assertion Flow 客户端用assertion去换取access token，比如SAML assertion。

以开心网为例（开心网是实现了oauth2.0的第10个版本）

开心网实现了

Web Server Flow

User-Agent Flow

Username and Password Flow

三种方式

http://wiki.open.kaixin001.com/index.php?id=OAuth2.0%E6%96%87%E6%A1%A3

oauth2.0的客户端实现是非常方便的，开心网的说明文档也已经非常全了，这里就不多说了

下面说一下各个流程的步骤：

Web Server Flow：

web ServerFlow是把oauth1.0的三个步骤缩略为两个步骤

首先这个是适合有server的第三方使用的。

1客户端http请求authorize

2服务端接收到authorize请求，返回用户登陆框页面

3用户在客户端登陆

4服务器端将浏览器定位到callbackurl，并同时传递Authorization Code

5客户端使用https发送access_token

6服务器端收到access_token请求，验证Authorization Code---生成access_token, refresh_token,和过期时间--access_token和refresh_token和过期时间入库

7 返回access_token和refresh_token,过期时间

8 用户使用HTTPS+ access_token请求开放平台接口

User-Agent:

适合所有无server端配合的客户端

1客户端http请求authorize

2服务端接收到authorize请求，返回用户登陆框页面

3用户在客户端登陆

4服务器端将浏览器定位到callbackurl，并同时传递access_token和过期时间

这里面的access_token可以考虑放在缓存中而不是放在数据库中，一旦过期时间到就可以作废了

Username and Password Flow

适合所有情况

1 客户端https请求access_token（使用https是由于参数中带着开心网的用户名和密码信息）2 服务器端收到access_token请求---生成access_token, refresh_token,和过期时间--access_token和refresh_token和过期时间入库

3 json返回access_token, refresh_token,和过期时间

特别说明：

oauth2.0客户端得到access_token之后是使用https来调用请求的，这样做的目的主要是放重放和数据泄露 

参考文档：

http://djb4ke.iteye.com/blog/683153

http://oauth.net/2/

http://hueniverse.com/2010/05/introducing-oauth-2-0/

http://wiki.open.kaixin001.com/index.php?id=OAuth2.0%E6%96%87%E6%A1%A3 

作者：轩脉刃(yjf512) 
出处：（http://www.cnblogs.com/yjf512/） 
版权声明：本文的版权归作者与博客园共有。欢迎转载阅读，转载时须注明本文的详细链接。