OAuth2.0认证和受权原理

1. OAuth2.0认证和受权原理

 

http://www.javashuo.com/article/p-hlaufacz-ey.html

 

http://www.javashuo.com/article/p-xpqkthcu-gb.html

 

http://www.ruanyifeng.com/blog/2014/05/oauth_2_0.html

http://www.ruanyifeng.com/blog/2019/04/oauth-grant-types.html

 

  http://www.javashuo.com/article/p-xpqkthcu-gb.html

SpringCloud搭建Oauth

 https://blog.csdn.net/w1054993544/article/details/78932614

 

Java编程中spring boot框架+spring security框架+spring security oauth2框架整合的例子

http://www.javashuo.com/article/p-radjmihe-a.html

http://www.leftso.com/blog/139.html

 

Springboot+Spring-Security+JWT+Redis实现restful Api的权限管理以及token管理

http://www.javashuo.com/article/p-crchttlz-dx.html

 

2.Spring Boot 2.0 利用 Spring Security 实现简单的OAuth2.0认证方式2

http://www.javashuo.com/article/p-gfnxirot-ge.html

 

 

https://blog.csdn.net/lixiang987654321/article/details/83381494

OAuth 2.0定义了四种受权方式：

 

      一.密码模式（resource owner password credentials）(为遗留系统设计)(支持refresh token)

• 这种模式是最不推荐的，由于client可能存了用户密码
• 这种模式主要用来作遗留项目升级为oauth2的适配方
• 固然若是client是自家的应用，也是能够
• 支持refresh token
• 使用client_id和client_secret以及用户名密码直接获取秘钥
• 请求地址： http://localhost:7010/uaa/oauth/token?grant_type=password&username=lixx&password=dw123456

      二.受权码模式（authorization code）(正宗方式)(支持refresh token)

• 这种模式算是正宗的oauth2的受权模式

• 设计了auth code，经过这个code再获取token

• 支持refresh token

• 请求地址：http://localhost:7010/uaa/oauth/authorize?response_type=code&client_id=wx_takeout_client_id&redirect_uri=http://localhost:7010/uaa/login

      三.简化模式（implicit）(为web浏览器应用设计)(不支持refresh token)

•  这种模式比受权码模式少了code环节，回调url直接携带token
•  这种模式的使用场景是基于浏览器的应用
•  这种模式基于安全性考虑，建议把token时效设置短一些
•  不支持refresh token
•  implicit模式（隐式模式）和受权码模式(authorization_code)访问差很少，相比之下，少了一步获取code的步骤，而是直接获取token

• 请求： 用浏览器（此时同受权码模式，浏览器能跳转到登陆页面，postman不行）

• http://localhost:7010/uaa/oauth/authorize?response_type=token&client_id=wx_takeout_client_id&redirect_uri=http://localhost:7010/uaa/login

     四.客户端模式（client credentials）(为后台api服务消费者设计)(不支持refresh token)

• 这种模式直接根据client的id和密钥便可获取token，无需用户参与

• 这种模式比较合适消费api的后端服务，好比拉取一组用户信息等

• 不支持refresh token，主要是没有必要

• 请求参数：请求头添加上 client_id和client_secret的basic编码，请求提添加grant_type必须设置为client_credentials

 

 http://www.javashuo.com/article/p-aososazd-dp.html

 

springboot+springsecurity+oauth2整合（并用mysql数据库实现持久化客户端数据）

 http://www.javashuo.com/article/p-xplpvhnj-dx.html

 

Spring Boot OAuth2 整合（受权码和password的数据库配置方式）

https://blog.csdn.net/qq_34997906/article/details/89600076