OAuth2.0学习（11）OAuth2.0是什么？

目前很多开放平台如新浪微博开放平台都在使用提供开放API接口供开发者使用&＃xff0c;随之带来了第三方应用要到开放平台进行授权的问题

OAuth就是用于为第三方应用授权访问用户的资源应用的。

目前有OAuth1.0、OAuth2.0两个版本。OAuth2是OAuth协议的下一个版本&＃xff0c;相比OAuth1&＃xff0c;OAuth2整个授权流程更简单安全了&＃xff0c;但不兼容OAuth1&＃xff0c;

OAuth2官网http://oauth.net/2/&＃xff0c;OAuth2协议规范可以参考http://tools.ietf.org/html/rfc6749。

1、第一个例子&＃xff1a;用户授权第三方应用打印自己存在百度云盘的照片

有一个"云冲印"的网站&＃xff0c;可以将用户储存在百度云盘的照片&＃xff0c;冲印出来。用户为了使用该服务&＃xff0c;必须让"云冲印"读取自己储存在百度云盘上的照片。

这个需求存在的安全问题是百度云盘只有得到用户的授权&＃xff0c;才会同意"云冲印"读取这些照片。

那么&＃xff0c;"云冲印"怎样获得用户的授权呢&＃xff1f;

传统方法是&＃xff0c;用户将自己的百度云盘用户名和密码&＃xff0c;告诉"云冲印"&＃xff0c;后者就可以读取用户的照片了。

这样的做法有以下几个严重的缺点。

&＃xff08;1&＃xff09;"云冲印"为了后续的服务&＃xff0c;会保存用户的密码&＃xff0c;这样很不安全。

&＃xff08;2&＃xff09;百度云盘不得不部署密码登录&＃xff0c;而我们知道&＃xff0c;单纯的密码登录并不安全。

&＃xff08;3&＃xff09;"云冲印"拥有了获取用户储存在百度云盘所有资料的权力&＃xff0c;用户没法限制"云冲印"获得授权的范围和有效期。

&＃xff08;4&＃xff09;用户只有修改密码&＃xff0c;才能收回赋予"云冲印"的权力。但是这样做&＃xff0c;会使得其他所有获得用户授权的第三方应用程序全部失效。

&＃xff08;5&＃xff09;只要有一个第三方应用程序被破解&＃xff0c;就会导致用户密码泄漏&＃xff0c;以及所有被密码保护的数据泄漏。

2、第二个例子&＃xff1a;某些社交应用支持QQ登录或微博登录

有些网站支持使用QQ账号登录或微博账号登录&＃xff0c;流程如下&＃xff1a;

第一步&＃xff1a;用户登录第三方网站&＃xff0c;系统允许用户选择登录方式。

第二步&＃xff1a;用户选择【用QQ账号登录】方式登录。浏览器会发送请求给qq平台&＃xff0c;系统会跳到qq平台登录页面&＃xff0c;提示输入用户名和密码。

第三步&＃xff1a;用户输入QQ平台的用户名和密码&＃xff0c;点击登录&＃xff0c;QQ平台验证用户名和密码正确后&＃xff0c;提示用户是否接受授权

           如果用户授权成功&＃xff0c;第三方网站就能访问你的资源了&＃xff0c;qq头像、用户名等

 OAuth就是为了解决上面这些问题而诞生的&＃xff01;&＃xff01;&＃xff01;&＃xff01;