05.OAuth 2.0 授权

授权

当一个客户端应用想要访问拥有者托管在资源服务器的资源时，它必须先获得授权，本节将讲述客户端如何获取授权。

客户端标识，客户端密钥和重定向URL

在客户端应用能请求访问资源服务器的资源之前，客户端应用程序，必须先在资源服务器相关联的授权服务器中进行注册。

注册一个一次性的任务。一旦注册了，除非客户端注册被取消了，注册将持续有效。

注册后客户端应用将由授权服务器分配客户端标识和密钥。在授权服务器上，客户端标识和密钥是唯一标识客户端应用的。如果客户端应用注册了多个授权服务器(如 Facebook, Twitter 和 Google 等)，每一个授权服务器将发出唯一的标识给该客户端应用。

无论什么时候客户端应用，想要访问同样资源服务器上的资源，它都需要通过发送客户端标识和密钥到授权服务器来验证自己。

在注册过程中，客户端应用也注册了一个重定向 URL，当资源拥有者授权给客户端应用时，该重定向 URL 会被使用。当资源拥有者成功的通过授权服务器授权给客户端应用时，资源拥有者被重定向回客户端应用，再跳转到该重定向 URL。

授权批准

授权批准由资源服务器，及与其相关的授权服务器，给予客户端应用。

OAuth 2.0 列举四种不同类型授权批准，每一种类型都有不同的安全特性。这些授权批准类型为：

授权码
契约
资源拥有者密钥证书
客户端证书
每种授权批准在下文都会提到。

授权码

用授权码来授权批准原理如下：资源拥有者(用户)访问客户端应用。客户端应用告诉用户通过授权服务器(如 Facebook, Google 和 Twitter 等)来登录到客户端应用。

为了通过授权服务器登录，用户通过客户端应用被重定向到授权服务器。客户端应用发送它的客户端标识给授权服务器，那么授权服务器就知道是哪个应用尝试访问受保护的资源。当被重定向回客户端应用时，授权服务器发送给用户特定的重定向 URL, 即客户端已经提前与授权服务器注册。随着重定向，授权服务器发送一个代表授权的授权码。

当在客户端应用的重定向 URL 被访问时，客户端应用直接连接授权服务器。客户端应用发送授权码，客户端标识及密钥，如果客户端应用能接受这些值，那么授权服务器返回一个访问令牌。

现在客户端应用就可以用该访问令牌请求资源服务器的资源了。该访问令牌可作为客户端授权和授权访问资源。

下面是当用授权码授权客户端应用时的授权过程：