OAuth2几种授权模式

2017-08-04

auth

oauth2

授权码模式

授权码模式(authorization code)是功能最完整、流程最严密的授权模式。它的特点就是通过客户端的后台服务器，与”服务提供商“的认证服务器进行互动。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
  +----------+
  | Resource |
  |   Owner  |
  |          |
  +----------+
       ^
       |
      (B)
  +----|-----+          Client Identifier      +---------------+
  |         -+----(A)-- & Redirection URI ---->|               |
  |  User-   |                                 | Authorization |
  |  Agent  -+----(B)-- User authenticates --->|     Server    |
  |          |                                 |               |
  |         -+----(C)-- Authorization Code ---<|               |
  +-|----|---+                                 +---------------+
    |    |                                         ^      v
   (A)  (C)                                        |      |
    |    |                                         |      |
    ^    v                                         |      |
  +---------+                                      |      |
  |         |>---(D)-- Authorization Code ---------'      |
  |  Client |          & Redirection URI                  |
  |         |                                             |
  |         |<---(E)----- Access Token -------------------'
  +---------+       (w/ Optional Refresh Token)

Note: The lines illustrating steps (A), (B), and (C) are broken into
two parts as they pass through the user-agent.

                  Authorization Code Flow

它的步骤如下：

(A): 用户访问客户端，后者将前者导向认证服务器。
(B): 用户选择是否给予客户端授权。
©: 假设用户给予授权，认证服务器将用户导向客户端事先指定的”重定向URI“(redirection URI)，同时附上一个授权码。
(D): 客户端收到授权码，附上早先的”重定向URI“，向认证服务器申请令牌。这一步是在客户端的后台的服务器上完成的，对用户不可见。
(E): 认证服务器核对了授权码和重定向URI，确认无误后，向客户端发送访问令牌(access_token)和更新令牌(refresh_token)。

下面是上面这些步骤所需要的参数。

A步骤中，客户端申请认证的URI，包含以下参数：

  • response_type: 表示授权类型，必选项，此处的值固定为code
  • client_id: 表示客户端的ID，必选项
  • redirect_uri: 表示重定向URI，可选
  • scope: 表示申请的权限范围，可选项
  • state: 表示客户端的当前状态，可以指任意值，认证服务器会原封不动地返回这个值。

下面是一个例子。

1
2
3
GET /authorize?response_type=code&client_id=s6BhdRkqt3&state=xyz
        &redirect_uri=https%3A%2F%2Fclient%2Eexample%2Ecom%2Fcb HTTP/1.1
Host: server.example.com

C步骤中，服务器回应客户端的URI，包含以下参数：

  • code: 表示授权码，必选项。该码的有效期应该很短，通常设为10分钟，客户端只能使用该码一次，否则会被授权服务器拒绝。该码与客户端ID和重定向URI，是一一对应关系。
  • state: 如果客户端请求包含这个参数，认证服务器回应一模一样这个参数。

下面是个例子。

1
2
3
4
 
HTTP/1.1 302 Found
Location: https://client.example.com/cb?code=SplxlOBeZQQYbYS6WxSbIA
          &state=xyz

D步骤中，客户端向认证服务器申请令牌的HTTP请求，包含以下参数：

  • grant_type: 表示使用的授权模式，必选项，固定为authorization_code。
  • code: 表示上一步获得的授权码，必选项。
  • redirect_uri: 表示重定向URI，必选项，且必须与A步骤中的该参数值保持一致。
  • client_id: 表示客户端ID，必选项。
1
2
3
4
5
6
7
POST /token HTTP/1.1
Host: server.example.com
Authorization: Basic czZCaGRSa3F0MzpnWDFmQmF0M2JW
Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code&code=SplxlOBeZQQYbYS6WxSbIA
&redirect_uri=https%3A%2F%2Fclient%2Eexample%2Ecom%2Fcb

E步骤中，认证服务器发送的HTTP回复，包含以下参数：

  • access_token: 表示访问令牌，必选项。
  • token_type: 表示令牌类型，该值大小写不敏感，必选项，可以是bearer类型或mac类型。
  • expires_in: 表示过期时间，单位为秒。省略该参数，必须其它方式设置过期时间。
  • refresh_token: 表示更新令牌，用来获取下一次的访问令牌，可选项。
  • scope: 表示权限范围，可选。

具体分三步：

  1. 带领用户访问认证URL
  2. 通过code 获取 access_token
  3. 使用此access_token可以获取用户账号、昵称、id、头像等信息。

适用场景：

  1. 某个网站想要获取你的个人信息；
  2. 被客户端网站重定向到授权网站；

客户端模式

客户端模式(Client Credentials Grant)
指客户端以自己的名义，而不是用户的名义，向“服务提供商”进行认证。严格来说，客户端模式并不属于OAuth框架所要解决的问题。在这种模式中，用户直接向客户端注册，客户单以自己的名义要求“服务提供商“提供服务，其实不存在授权问题。

1
2
3
4
5
6
7
8
9
+---------+                                  +---------------+
|         |                                  |               |
|         |>--(A)- Client Authentication --->| Authorization |
| Client  |                                  |     Server    |
|         |<--(B)---- Access Token ---------<|               |
|         |                                  |               |
+---------+                                  +---------------+

                Client Credentials Flow

这种客户端模式(Client Credentials Grant)必须仅被用于足够信任的”客户端提供商“所使用。

它的步骤如下：

(A)：客户端向认证服务器进行身份认证，并要求一个访问令牌。
(B)：认证服务器确认无误后，向客户端提供访问令牌。

A步骤中，客户端发出的HTTP请求，包含以下参数：

  • grant_type: 表示授权类型，固定为client_credentials，必须的。
  • scope: 表示权限范围，可选项。
1
2
3
4
5
6
POST /token HTTP/1.1
Host: server.example.com
Authorization: Basic czZCaGRSa3F0MzpnWDFmQmF0M2JW
Content-Type: application/x-www-form-urlencoded

grant_type=client_credentials

认证服务器以某种方式，验证客户端身份。

B步骤中，认证服务器向客户端发送访问令牌，下面是一个例子。

1
2
3
4
5
6
7
8
9
10
11
HTTP/1.1 200 OK
Content-Type: application/json;charset=UTF-8
Cache-Control: no-store
Pragma: no-cache

{
  "access_token":"2YotnFZFEjr1zCsicMWpAA",
  "token_type":"example",
  "expires_in":3600,
  "example_parameter":"example_value"
}

这种模式明确告诉我们，认证的主体是客户端，我们对这种方式进行完善。

  1. User首先在客户端平台进行一系列注册管理行为，得到当前用户相应的client_id、client_secret、scope。
  2. 此时，客户端(Client)
    相当于一个SDK或管理平台，客户端需要暴露一个向认证服务获取access_token的API，通过该API获取得到access_token。
  3. 客户端得到token后，带上该token访问对应的资源。

简化模式

简化模式(implicit grant type)不通过第三方应用程序的服务器，直接在浏览器中向认证服务器申请令牌，跳过了"授权码"
这个步骤，因此得名。所有步骤在浏览器中完成，令牌对访问者是可见的，且客户端不需要认证。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
  +----------+
  | Resource |
  |  Owner   |
  |          |
  +----------+
       ^
       |
      (B)
  +----|-----+          Client Identifier     +---------------+
  |         -+----(A)-- & Redirection URI --->|               |
  |  User-   |                                | Authorization |
  |  Agent  -|----(B)-- User authenticates -->|     Server    |
  |          |                                |               |
  |          |<---(C)--- Redirection URI ----<|               |
  |          |          with Access Token     +---------------+
  |          |            in Fragment
  |          |                                +---------------+
  |          |----(D)--- Redirection URI ---->|   Web-Hosted  |
  |          |          without Fragment      |     Client    |
  |          |                                |    Resource   |
  |     (F)  |<---(E)------- Script ---------<|               |
  |          |                                +---------------+
  +-|--------+
    |    |
   (A)  (G) Access Token
    |    |
    ^    v
  +---------+
  |         |
  |  Client |
  |         |
  +---------+

Note: The lines illustrating steps (A) and (B) are broken into two
parts as they pass through the user-agent.

                    Implicit Grant Flow

它的步骤如下：

(A) 客户端将用户导向认证服务器。
(B) 用户决定是否给于客户端授权。
© 假设用户给予授权，认证服务器将用户导向客户端指定的"重定向URI"，并在URI的Hash部分包含了访问令牌。
(D) 浏览器向资源服务器发出请求，其中不包括上一步收到的Hash值。
(E) 资源服务器返回一个网页，其中包含的代码可以获取Hash值中的令牌。
(F) 浏览器执行上一步获得的脚本，提取出令牌。
(G) 浏览器将令牌发给客户端。

下面是上面这些步骤所需要的参数。

A步骤中，客户端发出的HTTP请求，包含以下参数：

  • response_type: 表示授权类型，此处的值固定为"token"，必选项。
  • client_id: 表示客户端的ID，必选项。
  • redirect_uri: 表示重定向的URI，可选项。
  • scope: 表示权限范围，可选项。
  • state: 表示客户端的当前状态，可以指定任意值，认证服务器会原封不动地返回这个值。

下面是一个例子。

1
2
3
GET /authorize?response_type=token&client_id=s6BhdRkqt3&state=xyz
        &redirect_uri=https%3A%2F%2Fclient%2Eexample%2Ecom%2Fcb HTTP/1.1
    Host: server.example.com

C步骤中，认证服务器回应客户端的URI，包含以下参数：

  • access_token: 表示访问令牌，必选项。
  • token_type: 表示令牌类型，该值大小写不敏感，必选项。
  • expires_in: 表示过期时间，单位为秒。如果省略该参数，必须其他方式设置过期时间。
  • scope: 表示权限范围，如果与客户端申请的范围一致，此项可省略。
  • state: 如果客户端的请求中包含这个参数，认证服务器的回应也必须一模一样包含这个参数。

下面是一个例子。

1
2
3
HTTP/1.1 302 Found
Location: http://example.com/cb#access_token=2YotnFZFEjr1zCsicMWpAA
          &state=xyz&token_type=example&expires_in=3600

在上面的例子中，认证服务器用HTTP头信息的Location栏，指定浏览器重定向的网址。注意，在这个网址的Hash部分包含了令牌。
根据上面的D步骤，下一步浏览器会访问Location指定的网址，但是Hash部分不会发送。接下来的E步骤，服务提供商的资源服务器发送过来的代码，会提取出Hash中的令牌。

该方式会暴露access_token，只有当其它方式不可用的情况下使用。

密码模式

密码模式(Resource Owner Password Credentials Grant)中，用户向客户端提供自己的用户名和密码。客户端使用这些信息，向"
服务商提供商"索要授权。
在这种模式中，用户必须把自己的密码给客户端，但是客户端不得储存密码。这通常用在用户对客户端高度信任的情况下，比如客户端是操作系统的一部分，或者由一个著名公司出品。而认证服务器只有在其他授权模式无法执行的情况下，才能考虑使用这种模式。

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20

+----------+
| Resource |
|  Owner   |
|          |
+----------+
     v
     |    Resource Owner
    (A) Password Credentials
     |
     v
+---------+                                  +---------------+
|         |>--(B)---- Resource Owner ------->|               |
|         |         Password Credentials     | Authorization |
| Client  |                                  |     Server    |
|         |<--(C)---- Access Token ---------<|               |
|         |    (w/ Optional Refresh Token)   |               |
+---------+                                  +---------------+

       Resource Owner Password Credentials Flow

它的步骤如下：

(A) 用户向客户端提供用户名和密码。
(B) 客户端将用户名和密码发给认证服务器，向后者请求令牌。
© 认证服务器确认无误后，向客户端提供访问令牌。

B步骤中，客户端发出的HTTP请求，包含以下参数：

  • grant_type: 表示授权类型，此处的值固定为"password"，必选项。
  • username: 表示用户名，必选项。
  • password: 表示用户的密码，必选项。
  • scope: 表示权限范围，可选项。

下面是一个例子。

1
2
3
4
5
6
POST /token HTTP/1.1
Host: server.example.com
Authorization: Basic czZCaGRSa3F0MzpnWDFmQmF0M2JW
Content-Type: application/x-www-form-urlencoded

grant_type=password&username=johndoe&password=A3ddj3w

C步骤中，认证服务器向客户端发送访问令牌，下面是一个例子。

1
2
3
4
5
6
7
8
9
10
11
12
13

HTTP/1.1 200 OK
Content-Type: application/json;charset=UTF-8
Cache-Control: no-store
Pragma: no-cache

{
  "access_token":"2YotnFZFEjr1zCsicMWpAA",
  "token_type":"example",
  "expires_in":3600,
  "refresh_token":"tGzv3JOkF0XG5Qx2TlKWIA",
  "example_parameter":"example_value"
}