Ilustración del concepto OAuth2.0. OAuth es un estándar de red abierto para autorización (autorización).Ahora es el tercer … | Autor: Johnny Lin | Diciembre de 2021
OAuth es una autorización (autorización). Es un protocolo de autorización de la red abierta principal.
En pocas palabras, una aplicación quiere acceder a los recursos del usuario sin conocer el nombre de usuario, la contraseña y otros ID de autenticación del usuario, y puede obtener los permisos correspondientes y acceder a los recursos correspondientes a través de la autorización del usuario.
Roles definidos por OAuth
- Aplicación de terceros: aplicación, infectada con «cliente» (cliente).
- Servicio HTTP: prestación de servicios HTTP, denominada «prestación de servicios».
- Agente de usuario: El agente de usuario se refiere al navegador.
- Propietario del recurso: generación de recursos, «usuario» centralizado (usuario).
- Servidor de autorización: un servidor de autenticación, es decir, un servidor que brinda servicios para respaldar el procesamiento de la autenticación.
- Servidor de recursos: servidor de recursos, es decir, el servidor que el servidor de recursos puede publicar generado por el usuario. Este y el servidor de autenticación pueden ser el mismo servidor o servidores diferentes.
El concepto de OAuth
OAuth configura una capa de autorización (capa de autorización) en el cliente y el servicio HTTP. El cliente inicia sesión directamente en el servicio HTTP y no puede iniciar sesión en la capa de autorización, y separa al usuario del área del cliente. El usuario del token que utiliza el cliente para iniciar sesión en la capa de autorización puede especificar el alcance y la validez del token de la capa de autorización al iniciar sesión. Una vez que el cliente inicia sesión en la capa de autorización, el servicio HTTP puede conocer el rango de autoridad del usuario y el token válido, y abrir los datos almacenados del usuario al cliente.
Ejecutar proceso
Proceder de la siguiente:
(A) Después de que el usuario abre el cliente, el cliente solicita autorización al usuario.
(B) El usuario se compromete a autorizar al cliente.
(C) El cliente utiliza la autorización obtenida en el paso anterior para solicitar un token del servidor de autenticación.
(D) Después de que el servidor de autenticación autentica al cliente, confirma que es correcto y acepta emitir un token.
(E) El cliente usa el token para solicitar recursos al servidor de recursos.
(F) El servidor de recursos confirma que el token es correcto y acepta abrir el recurso al cliente.
Modo de autorización de cliente
El cliente debe obtener la autorización del usuario (concesión de autorización) para obtener el token de acceso. OAuth2.0 define cuatro métodos de autorización.
- Modo de código de autorización (código de autorización)
- Modo simplificado (implícito)
- Modo de contraseña (credenciales de contraseña del propietario del recurso)
- Modo cliente (credenciales de cliente)
La forma más común del protocolo OAuth2.0 es usar el modo de código de autorización, y solo puedo probarlo a través del método de código de autorización.
Modo de código de autorización
El modo código de autorización es el modo de autorización con las funciones más completas y el proceso más riguroso, se caracteriza por interactuar con el servidor de autenticación del servicio HTTP a través del servidor backend del cliente.
Proceder de la siguiente:
(A) El usuario accede a clUna generaciónBueno, habrá un servidor de autorización más adelante.
(B) El usuario elige si autoriza al cliente.
(C) Autorización de autorización de usuario falsa, dirija al usuario al servidor de autorización del cliente para especificar
«Redirigir URI» (redireccionar URI) y adjuntar un código de autorización al mismo tiempo.
(D) El cliente recibe el código de autorización y adjunta el «URI de origen» anterior para autorizar
El servidor solicita un token.Este paso se realiza en el servidor en segundo plano del cliente, que no es para el usuario
visible.
(E) El servidor de autorización ha verificado el código de autorización y el URI, y luego de confirmar que son correctos,
El cliente envía un token de acceso y un token de actualización (token de actualización).
Token de actualización
Si el «token de acceso» del cliente ha expirado cuando el usuario visita, debe usar el «token de actualización» para solicitar un nuevo «token de acceso».
