本文由VIRAG MODY发表，经原作者授权由InfoQ中文站翻译并分享。

现代社会中，人们可能会在几十个应用上都建立了账户。不论是社交媒体应用、流媒体应用还是办公资源，我们每个人都必须管理很多包含个人信息的账户。随着时间流逝，这些孤立的应用程序之间的联系越来越紧密。Twitter允许新闻网站直接发推文；Discord在Facebook上搜索推荐的朋友；Jira使用Github个人资料创建用户帐户。这种允许应用程序代表你与其他应用交流的趋势称为“委托访问”。这已经成为我们每个人在网络生活中必不可少的一部分。

但是，由于这些应用程序保护数据的方式，开发人员遇到一个挑战：我们如何委派访问权限？几乎每个应用程序都由基本的用户名/密码架构来保护。要允许应用程序A访问在应用程序B上的所需数据，则需要代表应用程序A不断登录应用程序B——这真是个笨办法！另一个解决方法是将用于登录应用程序B的用户名和密码证书告知应用程序A，这个方法也存在如下一些问题：

应用程序A将证书以明文形式存储
应用程序A被赋予无限制访问应用程序B的权限
用户无法轻易撤回对应用程序A的授权
已被攻击成功的应用程序A使得应用程序B也面临泄漏风险

OAuth就是为了解决这种左右为难的困境而生：如何在不使最终用户的数据面临风险的情况下提供委托访问。

术语表

它有助于理解协议中的常见术语。注意：在本文中，OAuth指OAuth 2.0，是自2012年以来的最新版本。

资源所有者（Resource Owner）：可以授权对受保护资源的访问的实体（也就是我们）。
资源服务端（Resource Server）：存储受保护的资源并处理访问请求的服务端。
客户端（Client）：想要访问资源服务端、并代表资源所有者执行操作的应用程序
授权服务端（Authorization Server）：知道资源服务端，并且能够授权客户端访问资源服务端的授权服务端。

OAuth协议工作流

归根结底，OAuth的存在是为了向第三方应用程序提供对安全资源的有限访问权限，同时避免暴露用户数据。

想想特斯拉的“代泊模式”需要你为其提供代泊钥匙卡。这个钥匙卡告知了车辆它将以有限的功能运行：限制最高时速和加速度并关闭行李箱。此技术在概念上与OAuth的运作方式是相同的。特斯拉车主可以在不提供车辆主钥匙的情况下，让代泊司机以有限的权限驾驶他/她的特斯拉。

OAuth在社交媒体应用上相当流行。你很有可能对如下的请求非常熟悉：

通过OAuth，Spotify（客户端）能在不提供证书的情况下代表Bob（资源所有者）访问Facebook（资源服务端）

当收到这样一个弹出窗口时，OAuth协议在后台运行如下流程：

赋予Spotify的对Facebook数据的委托访问

Spotify发送一条信息给Bob，请求访问他的个人主页、好友列表、邮箱和生日的权限。
Bob给Spotify提供授权来收集所需要的数据。
Spotify将授权发送给Facebook API（应用程序接口）。
Facebook API验证授权，并且给Spotify发送访问令牌来访问受保护的资源。
Spotify将访问令牌发送给授权服务器所提供的另一个Facebook API
Facebook API将所请求的数据发送给Spotify

通过使用授权和令牌（我们将在下文讨论），Spotify获得了接触Bob的Facebook账号的“代泊钥匙卡”。

对底层一探究竟

上文从非常概略的角度解释了OAuth如何工作。现在让我们来看看它的内部，了解使协议能够运作的各个部分。

在上一节中，我们讨论了OAuth的抽象设计：客户端、资源所有者、授权服务端和资源服务端。在这个系统中还有如下部分：

范围(Scope)和令牌(Token)
授权(Grant)和流程(Flow)

范围和令牌

范围和令牌是OAuth中用于实现细粒度的访问控制的。它们在一起使用时表示了“做某事的许可”。令牌是关于权限的部分，定义了“做某事”中的某事是什么。想象电影票的例子：范围就是你被授权观看的电影名称，这张电影票就是令牌，只有电影院的员工可以验证它的真假。

在我们特斯拉的例子中，范围是使用代泊钥匙启动车辆时车辆被允许启动的功能，令牌就是代泊钥匙本身，只有在钥匙是被特斯拉经销商发行的情况下，特斯拉车辆才能识别该钥匙。

回到图2，我们可以看到授权服务端和资源服务端有不同的API。从功能上而言，授权服务端用于验证和授权客户端，而资源服务端托管被请求的资源。为了使资源服务端知道是否接受某个查询信息，它必须知道这个请求者是否已被授权。这就是令牌的来源。令牌的存在是为了通知资源服务端，该请求者已被授权服务端审查过了，并且有权限发送这个请求。通过使用令牌为代理，这种提供证书的需要就被抽象化了。访问令牌通常作为JWT承载令牌发布，这些令牌被数字签名成对客户端无意义的数据，但当资源服务端解码后，它们包含了重要的信息。被包含在访问令牌中的其中一个变量就是它的范围。

由于范围限制了允许的操作，因此他们必须由资源（例如Facebook）所固有的范围去定义。按照惯例，范围有四种：

可读访问
可写访问
可读可写访问
无法访问

范围可以要么获得某个数据、要么做某件事、要么既获得某个数据又做某件事、或者什么都不干。上文中，Facebook和Spotify的例子就是一个可读访问的实例，而路透社要求发布一条文章的推特就是可写访问。定义范围是用于指定第三方如何访问用户数据的一个非常强大的工具。

要理解如何使用范围，可以阅读Slack和Google这些公司的文档，它们展示了范围参数的不同组合。

有另一种令牌叫做刷新令牌。它们不是访问资源的“钥匙”，但是可以在令牌失效时（例如，令牌过期）用于自动获得新的访问令牌。

像Facebook这样的应用程序能通过强制使用可选的刷新令牌来定期验证授权，从而获得新的访问令牌，以实现更高级别的安全性。刷新令牌具有一个重要功能：可以通过使令牌失效和回退客户端对权限资源的访问，来撤回令牌。

授权和流程

授权指示了客户端要获取访问令牌的操作顺序。这些独特的顺序称为流程。回到我们电影院的例子，有两种方式可以获得门票：

在剧场购买
在网上购买

您选择的方法决定了要获取票证，你需要做什么。在剧院购买可能类似于：

开车到电影院附近
进入电影院
走到售票前台
选择放映时间
向影院工作人员提供信用卡（中国或是用支付宝、微信支付等支付工具）
给收据签名（在中国，这一步略过）
获得实体的电影票

而在网上购买需要完成这些步骤：

登录电影院网站
选择放映时间
点击购物车结账
输入付款信息
通过电子邮件获得电子的电影票

如你所见，授权与令牌是不同的，授权不是实质性的事情，但是指示了要操作的流程。我们已经介绍了一种授权方式：刷新令牌（请参见图3）。不同的授权针对特定的用例作出了优化，并且会影响到终端用户如何和客户端应用程序进行交互，这个过程中应用了各类保密措施。了解构成每种授权类型的不同参数很重要，但是这会使本文变成一篇中篇小说。所以，在下面的Github案例分析中，我们将重点介绍最常见的授权类型：授权码授权（Authorization Code Grant）。

回想一下，OAuth通过HTTPS运行。资源所有者，客户端和授权服务端之间的所有通信都是通过URI进行的。这些URI是带有参数的请求，这些参数是这个字符串的一部分。这些参数包含了授权服务端需要了解的要遵循的流程信息。此时，务必要注意的是，有两种客户端：机密客户端和公共客户端。我们可以信任机密客户端有能力秘密地持有对访问资源至关重要的令牌。这种客户端可以是服务端应用程序。我们不能信任公共客户端能够存储客户证书。这种客户端包括移动端或Javascript浏览器应用程序。

授权码授权

授权码授权可能是最常见的授权类型（参见图4）。从本质上来说，客户端接收由授权服务端发布的唯一代码，这个代码在接下来的流程中可以用于交换令牌。通过将接受令牌所需的步骤分解成两个不同的请求，授权服务端能够在发布令牌之前验证关于客户端的重要信息。

此文有更多关于授权码验证的内容

带有PKCE扩展的授权码授权

这是授权码授权的一个变体。它用于那些没有能力存储证书的公共客户端。客户端和服务端通过PKCE扩展（用于交换代码的公钥）来传递一个哈希值，这个哈希值验证了通信没有被拦截。

此文有更多关于客户端证书授权的内容

设备码

这种授权方式的扩展被用于一类通过互联网相互连接的特殊设备：这些设备无法使用浏览器，或者有非常糟糕的键盘体验，比如通过游戏机手柄或者虚拟键盘来登录游戏页面。如果你曾经在智能电视登录过流媒体账号，你可能早已体验过这个流程。

此文有更多关系设备控制授权的内容

案例学习：GitHub的单点登录（SSO）

将所有这些概念放在一起，我们来学习一个案例。Teleport是一个开源的远程访问工具，能够使用户通过GitHub的单点登录（Single Sign-On, SSO）来登录，这其中就使用了OAuth。

首先，我们来定义一些专业词汇：

客户端：Teleport
资源拥有者：Teleport用户
授权服务端：Github授权服务器（GAS）
资源服务端：GitHub资源服务器（GRS）

现在我们就可以开始了！如上文所述，我们将遵循授权码授权。这是因为令牌所有者是一个用户，而客户端是一个服务端应用程序。Teleport不被托管，所以假设我们已经安全地将它安装在你的架构中了。如果不是这样的话，应该使用PKCE扩展的授权码授权。

授权码授权流程

这个流程如下所示：

第一步：Teleport用户访问Teleport程序

第二步：Teleport提示Teleport用户通过GitHub SSO登录

第三步：Teleport用户点击“登录“，然后被通过如下参数重定向，这些参数被包括在HTTPS GET请求中：

authorization_server
response_type=code
client_id
redirect_uri
scope
state

这些参数是什么意思呢？

authorization_server：是GAS公开的URL。所有资源应用程序会提供一个URL来重定向，通常是一个API。在GitHub的例子中，这个API是https://github.com/login/oauth/authorize
response_type=code：会让GAS知道Teleport希望获得一个授权码
client_id：提供了一个字符串给GAS，GAS可以根据授权客户端的注册表来检查。像GitHub这样的应用程序将要求客户端注册，来帮助识别。让我们使用12345作为ID。
redirect_uri：告知GAS通过这个URL来将Teleport用户重定向回到Teleport，并且有所有Teleport所需要的变量。在这个例子中，我们可以将Gravitation文档作为重定向URL的实例：https://teleport.example.com:3080/v1/webapi/github/callbac
scope：定义了访问资源的限制。这些范围通常由资源服务端所固有的范围来定义。我们可以在这里看Github的范围。当看见Teleport的代码库时，我们发现唯一的范围要求就是read:org，这使得Teleport能读取组织的成员信息、团队的成员信息以及组织的项目。
state：是一个由Teleport随机生成的字符串，用于在Teleport和授权服务端之间来回传递。通过传递这个字符串，客户端和授权服务端都能知道它们是跟同一个设备进行交流。在这个例子中，我们假设state字符串是syl（我的狗的名字）。

把这些参数都放在一起，这个Teleport用户在接受登录提示后被重定向的URL是这样的：

https://github.com/login/oauth/authorize?response_type=code&client_id=12345&redirect_uri=https://teleport.example.com:3080/v1/webapi/github/callback&scope=read:org&state=syl

第四步：一旦GAS收到了这个请求，它将在一个Teleport的注册表中验证这个client_id。知道Teleport要求返回授权码后，GAS会给用户发送一个重定向的URL，这个URL中有这个授权码和已经通过的state参数。我们下一个URL是这样的；

https://teleport.example.com:3080/v1/webapi/github/callback?code=pkzdZumQi1&state=syl

第五步：在收到授权码之后，Teleport会自动查询GAS，通过授权码来交换令牌，其中，code、redirect_url、client_id这些参数必须包含在查询中。还需要两个额外的参数：

grant_type=authorization_code告知GAS使用授权码流程
client_secret是出自客户端注册过程中的GitHub端。这个字符串应该是一个密钥并且不能被公开访问。因为Teleport是被托管在我们自己的基础架构中，我们知道我们的架构是安全的，所以我们乐意传递这个参数。另一方面，我们应该使用PKCE扩展并对这个生成的字符串进行哈希加密处理。在这个例子中，我们的密钥是gravitational。

回想一下，用授权码来交换令牌需要一个POST请求。将这些放在一起，Teleport将会发送一个这样的请求：

POST[https://github.com/login/oauth/access_token](https://github.com/login/oauth/access_token)grant_type=authorization_code& code=pkzdZumQi1& redirect_uri=https://teleport.example.com:3080/v1/webapi/github/callback& client_id=12345& client_secret=gravitational

第六步：使用client_secret和code，授权服务端能够验证Teleport客户端的请求，并且发布一个JWT承载令牌，这个令牌将范围和到期时间编码在内（可以将刷新令牌也包含在内）。这个令牌是这样的：

{ “access_token”:“IEZKr6ePPtxZBEd”, “token_type”:”bearer” “scope”:“read:org”, “expires_in”:3600 }

第七步：现在，我们获得了访问令牌。剩下的步骤就是代表Teleport用户向发出API请求并接受所请求的资源。为此，我们在HTTPS授权标头中将访问令牌作为Bearer凭证传递。回想一下我们的范围为read:org，这意味着我们只能调用很少的一部分方法。考虑到这一点，我们的标头可能类似于：

GET /users/org Host: api.github.com Authorization: Bearer IEZKr6ePPtxZBEd …

第八步：Github API发送Teleport用户的组织成员信息给Teleport

结论

如果你完成了所有步骤，恭喜你！尽管OAuth提供了这种容易被忽略的便利，它也仍然是一个复杂的协议，需要花费一些时间来实现。我们刚刚展示的例子是百种OAuth流程排列中可能的其中一种。在现在，我希望你对这个概念有了全面而充分的理解，使你能够有自信自己继续探索这个协议。

原文链接：

https://gravitational.com/blog/everything-you-need-to-know-about-oauth

创作场景

一文看懂 OAuth 2.0 (附实践案例)