OAuth2.0和OIDC详解

OAuth 是一个开放标准的授权框架，它为第三方应用获取资源所有者在资源所在系统或应用上的部分资源提供了一种解决方案。

创新互联公司主营安宁网站建设的网络公司,主营网站建设方案,成都APP应用开发,安宁h5微信小程序搭建,安宁网站营销推广欢迎安宁等地区企业咨询

也就是说，假如你在腾讯云存了一些图片，现在你想在美图秀秀上编辑这些图片；此时的 "你" 就是资源所有者，第三方应用就是美图秀秀，而资源服务器就是腾讯云；

这种情况下美图秀秀直接访问腾讯云是获取不到你的图片的，所以美图秀秀为了能获取到这些照片就需要授权服务器授权（当然，资源服务器和授权服务器有可能是同一个，也有可能是两个不同的服务）

OAuth 就是为这种类似的场景定义的一套标准，目前已经发展到了 OAuth2.0 。 OAuth2.0 在 RFC 的文档地址：

下面可以通过一个场景来解释一下， OAuth2.0 的原理：一个快递员的问题

假设你住在一个大型的小区中，你经常点外卖，而小区有门禁系统，进入的时候需要输密码

为了能让快递员进入，你就需要为他提供一组密码

如果你直接把你的密码给了快递员，那么他就有了和你一样的权限，如果你想取消他的权限，那只能改密码了，这样你还要通知使用该密码的其他人

所以你打算设计一套授权机制，既能让快递员进来，又能限制他的操作并且能随时回收这个密码

于是，你想出了一套办法，完善门禁系统：

此处为什么要给他生成一个令牌，而不是直接给他开门呢？

因为从小区大门到目的地可能会有多个门禁，所以就不用一直等着给快递员开门了；同样的，如果第二天快递员再来时就不需要再获取权限了

密码和令牌都让获取第三方获取用户数据，但是相较于密码，令牌有如下的有点：

令牌能够有效的控制第三方应用的访问权限和访问时长；当然，令牌也是必须要保密的，因为泄露令牌和泄露密码一样，也会造成安全问题，因此一般令牌的有效时间都会设置的比较短

OAuth2.0 提供了四种授权方式来应对不同的应用场景，

授权码（authorization code）方式，指的是第三方应用先申请一个授权码，然后再用该码获取令牌。

这种方式是最常用的流程，安全性也最高，它适用于那些有后端的 Web 应用。授权码通过前端传送，令牌则是储存在后端，而且所有与资源服务器的通信都在后端完成。这样的前后端分离，可以避免令牌泄漏。

第一步，A 网站提供一个链接，用户点击后就会跳转到 B 网站，授权用户数据给 A 网站使用。下面就是 A 网站跳转 B 网站的一个示意链接。

上面 URL 中， response_type 参数表示要求返回授权码（ code ）， client_id 参数让 B 知道是谁在请求， redirect_uri 参数是 B 接受或拒绝请求后的跳转网址， scope 参数表示要求的授权范围（这里是只读）。

第二步，用户跳转后，B 网站会要求用户登录（如果是未登录的情况下），然后询问是否同意给予 A 网站授权；如果用户同意授权，这时 B 网站就会跳回 redirect_uri 参数指定的网址。跳转时，会传回一个授权码，就像下面这样。

上面 URL 中， code 参数就是授权码。注：这个授权码与客户端一一对应，通常只有10分钟的有效期，并且只能使用一次

第三步，A 网站拿到授权码以后，就可以在后端，向 B 网站请求令牌。

上面 URL 中， client_id 参数和 client_secret 参数用来让 B 确认 A 的身份（ client_secret 参数是保密的，因此只能在后端发请求）， grant_type 参数的值是 AUTHORIZATION_CODE ，表示采用的授权方式是授权码， code 参数是上一步拿到的授权码， redirect_uri 参数是令牌颁发后的回调网址。

第四步，B 网站收到请求以后，就会颁发令牌。具体做法是向 redirect_uri 指定的网址，发送一段 JSON 数据。

上面 JSON 数据中， access_token 字段就是令牌，A 网站在后端拿到了。

有些 Web 应用是纯前端应用，没有后端。这时就不能用上面的方式了，必须将令牌储存在前端。 RFC 6749 就规定了第二种方式，允许直接向前端颁发令牌。这种方式没有授权码这个中间步骤，所以称为（授权码）"隐藏式"（implicit）。

第一步，A 网站提供一个链接，要求用户跳转到 B 网站，授权用户数据给 A 网站使用。

上面 URL 中， response_type 参数为 token ，表示要求直接返回令牌。

第二步，用户跳转到 B 网站，登录后同意给予 A 网站授权。这时，B 网站就会跳回 redirect_uri 参数指定的跳转网址，并且把令牌作为 URL 参数，传给 A 网站。

上面 URL 中， token 参数就是令牌，A 网站因此直接在前端拿到令牌。

注意，令牌的位置是 URL 锚点（fragment），而不是查询字符串（querystring），这是因为 OAuth 2.0 允许跳转网址是 HTTP 协议，因此存在"中间人攻击"的风险，而浏览器跳转时，锚点不会发到服务器，就减少了泄漏令牌的风险。

如果你高度信任某个应用，RFC 6749 也允许用户把用户名和密码，直接告诉该应用。该应用就使用你的密码，申请令牌，这种方式称为"密码式"（password）。**

第一步，A 网站要求用户提供 B 网站的用户名和密码。拿到以后，A 就直接向 B 请求令牌。

上面 URL 中， grant_type 参数是授权方式，这里的 password 表示"密码式"， username 和 password 是 B 的用户名和密码。

第二步，B 网站验证身份通过后，直接给出令牌。注意，这时不需要跳转，而是把令牌放在 JSON 数据里面，作为 HTTP 回应，A 因此拿到令牌。

这种方式需要用户给出自己的用户名/密码，显然风险很大，因此只适用于其他授权方式都无法采用的情况，而且必须是用户高度信任的应用。

最后一种方式是凭证式（client credentials），适用于没有前端的命令行应用，即在命令行下请求令牌。

第一步，A 应用在命令行向 B 发出请求。

上面 URL 中， grant_type 参数等于 client_credentials 表示采用凭证式， client_id 和 client_secret 用来让 B 确认 A 的身份。

第二步，B 网站验证通过以后，直接返回令牌。

这种方式给出的令牌，是针对第三方应用的，而不是针对用户的，即有可能多个用户共享同一个令牌。

A 网站拿到令牌以后，就可以向 B 网站的 API 请求数据了。

此时，每个发到 API 的请求，都必须带有令牌。具体做法是在请求的头信息，加上一个 Authorization 字段，令牌就放在这个字段里面。

上面命令中， ACCESS_TOKEN 就是拿到的令牌。

令牌的有效期到了，如果让用户重新走一遍上面的流程，再申请一个新的令牌，很可能体验不好，而且也没有必要。OAuth 2.0 允许用户自动更新令牌。

具体方法是，B 网站颁发令牌的时候，一次性颁发两个令牌，一个用于获取数据，另一个用于获取新的令牌（refresh token 字段）。令牌到期前，用户使用 refresh token 发一个请求，去更新令牌。

上面 URL 中， grant_type 参数为 refresh_token 表示要求更新令牌， client_id 参数和 client_secret 参数用于确认身份， refresh_token 参数就是用于更新令牌的令牌

OAuth2.0 描述了授权 (Authorization) 的各种方式，但是这些方式中却没有定义如何进行认证 (Authentication)

认证 (Authentication) 和授权 （Autherization 这两个表示的是不同的动作：

OpeID Connect （OIDC）对 OAuth2.0 进行了扩展，添加了用户认证的功能，并且它和 OAuth2.0 的流程是相同的。有区别的地方就是它的认证请求的字段中包含 scope=openid 如下所示：

在返回的响应中包含 ID Token ，用于获取用户身份，如下所示：

这里面有几个问题：

首先，

首先需要保证你的 OAuth2.0 请求是在 HTTPS 协议下发送的，这样可以防止暴露用户的信息。

其次就是一些钓鱼网站；比如，有一个 A 网站需要获取你在 B 网站上的资源或者数据，所以当你进入 A 网站的某个功能时，它会让你跳转到 B 网站，但是很有可能 B 网站是由 A 网站伪造跳转过来的，此时需要你的授权，当你输入账密的时候，你的账密就泄露了；这些钓鱼网站就是用来收集用户的账密信息的，所以当跳到第二个网站的时候一定要证实该网站是不是你注册过的合法的网站

参考连接：

发现钓鱼网站要不要报警

发现钓鱼网站要报警。钓鱼网站通常指伪装成银行及电子商务，窃取用户提交的银行帐号、密码等私密信息的网站，可用电脑管家进行查杀，钓鱼是一种网络欺诈行为，指不法分子利用各种手段，仿冒真实网站的URL地址以及页面内容，或利用真实网站服务器程序上的漏洞在站点的某些网页中插入危险的HTML代码，以此来骗取用户银行或信用卡账号、密码等私人资料。

钓鱼网站的主要行骗手段

钓鱼网站通过发送大量声称来自于银行或其他知名机构的欺诈性电子邮件和伪造的web网站点来进行诈骗活动，意图引诱访问者提供一些个人信息，如用户名、口令、信用卡密码等内容，从而获取重要信息的一种攻击方式。

钓鱼网站被骗，信用卡被盗刷怎么办

建议赶快报警啊，然后是通知银行冻结账户，减少损失

如果电脑装有腾讯电脑管家这类杀毒软件，一般这类网址是会出现提示的，打开之前就会注意到，如果遇到了类似的网站就可以去腾讯电脑管家界面右上角的反馈中举报，具体步骤：

打开腾讯电脑管家--点击进入反馈--进入ju报可疑网站--复制粘贴该网站链接--完成

另外，平时也不要随意打开网址弹出的窗口，中奖信息等，多注意电脑安全，经常杀毒。

打开腾讯电脑管家--实时防护--网页防火墙开启；

--杀毒--闪电查杀、全盘查杀；

腾讯电脑管家有中国最为丰富的URL数据库，是中国识别钓鱼欺诈网页权威数据库，可以有效防止被骗。而且是一款免费安全软件，能预防和解决计算机上常见的安全风险。拥有云查杀木马，系统加速，漏洞修复，实时防护，网速保护，电脑诊所，广告过滤，软件管理等功能。

新闻名称：腾讯云服务器钓鱼网站 腾讯云服务器 https
网站URL：http://chengdu.cdxwcx.cn/article/ddooigj.html