PROSAGA码农传奇-区块链扩展技术-OAuth究竟是什么（开放授权）？

0# 清月 | 2019-08-31 10-32

<div class =“post-text”itemprop =“text”>
  <BLOCKQUOTE>
    
      什么是oAuth？
    
  </BLOCKQUOTE>
  
    OAuth只是一种安全授权协议，用于处理第三方应用程序的授权，以便在不泄露密码的情况下访问用户数据。例如。 （在许多网站上用fb，gPlus，twitter登录）都可以在这个协议下工作。
  
  <BLOCKQUOTE>
    
      有关各方
    
  </BLOCKQUOTE>
  
    当您了解相关方时，协议变得更容易。基本上涉及三方：oAuth提供商，oAuth客户和所有者。
  
  <UL>
    <LI>
      oAuth客户端（想要访问您的凭证的应用程序）
    </LI>
    <LI>
      oAuth提供商（例如，facebook，twitter ......）
    </LI>
    <LI>
      所有者（facebook，twitter ..帐号的人）
    </LI>
  </UL>
  <BLOCKQUOTE>
    
      这个怎么运作？
    
  </BLOCKQUOTE>
  
    我认为一个网站（stackoverflow）需要添加登录Facebook功能的场景。因此facebook是oAuth Provider，stackoverflow是oAuth Client。
  
  <OL>
    <LI>
      
        的
          此步骤由app的开发人员完成
        </强>
        。一开始facebook（oAuth Provider）不知道stackoverflow（oAuth Client），因为它们之间没有链接。所以第一步是用facebook注册stackoverflow
        <a href="https://developers.facebook.com/" rel="noreferrer">
          开发者网站
        </A>
        。这是手动完成的，开发人员需要将应用程序的信息提供给Facebook，例如应用程序的名称，网站，徽标，重定向URL（重要的一个）。然后stackoverflow成功注册，从Facebook获得客户端ID，客户端密码等，并启动并运行
        的
          OAUTH
        </强>
        。

<a href="https://i.stack.imgur.com/Vb3bY.png" rel="noreferrer">
          <img src =“https://i.stack.imgur.com/Vb3bY.png”alt =“在此处输入图片说明”/>
        </A>
      
      
        2。
        的
          现在，当stackoverflow的用户单击使用fb按钮登录时
        </强>
        。 Stackoverflow用ClientId请求facebook（fb用它来识别客户端）和redirectUrl（fb会在成功后返回到这个url）。这样用户就会被重定向到facebook登录页面。这是最好的部分
        的
          用户（所有者）没有向stackoverflow提供他们的facebook凭证。
        </强>
      
    </LI>
  </醇>
  
    <a href="https://i.stack.imgur.com/5Jev9.png" rel="noreferrer">
      <img src =“https://i.stack.imgur.com/5Jev9.png”alt =“在此处输入图片说明”/>
    </A>
  
  
    <a href="https://i.stack.imgur.com/8IVIJ.png" rel="noreferrer">
      <img src =“https://i.stack.imgur.com/8IVIJ.png”alt =“在此处输入图片说明”/>
    </A>
  
  <ol start =“3”>
    <LI>
      的
        所有者允许Stackoverflow访问信息
      </强>
      。然后，Facebook重定向回到stackoverflow，以及
      的
        授权码
      </强>
       使用步骤2中提供的redirectUrl。
    </LI>
    <LI>
      然后Stackoverflow与facebook一起联系获得
      的
        授权码
      </强>
       确保一切都好。
    </LI>
    <LI>
      只有那时facebook会给出
      的
        访问令牌
      </强>
       到stackoverflow。然后
      的
        访问令牌
      </强>
       stackoverflow使用它来检索所有者的信息而不使用密码。这是oAuth的全部动机，其中从未暴露于第三方应用程序的实际凭证。
    </LI>
  </醇>
  
    更多：
  
  
    <a href="https://www.youtube.com/watch?v=tFYrq3d54Dc" rel="noreferrer">
      快速视频
    </A>
  
  
    <a href="https://aaronparecki.com/2012/07/29/2/oauth2-simplified" rel="noreferrer">
      网页链接
    </A>
  
</DIV>

1# 易米烊光 | 2019-08-31 10-32

<div class =“post-text”itemprop =“text”>
  <BLOCKQUOTE>
    
      OAuth究竟是什么（开放授权）？
    
  </BLOCKQUOTE>
  
    OAuth允许通知a
    的
      资源提供者
    </强>
     （例如Facebook）那个
    的
      资源所有者
    </强>
     （例如你）授予a的许可
    的
      第三方
    </强>
     （例如Facebook应用程序）访问他们的
    的
      信息
    </强>
     （例如你朋友的名单）。
  
  
    如果你明白地看到它，我会理解你的困惑。让我们举一个具体的例子：加入另一个社交网络！
  
  
    假设您有一个现有的GMail帐户。您决定加入LinkedIn。添加你的所有
    
      很多很多
    
     手动的朋友很烦人且容易出错。您可能会在中途受到厌倦或在其电子邮件地址中插入拼写错误以获取邀请。所以你可能最终不想创建一个帐户。
  
  
    面对这种情况，LinkedIn有Good Idea（TM）编写一个程序，可以自动添加你的朋友列表，因为计算机在厌倦和容易出错的任务上更有效率和效率。由于加入网络现在很容易，所以有
    
      没门
    
     你会拒绝这样的提议，现在好吗？
  
  
    如果没有用于交换此联系人列表的API，则必须向LinkedIn提供您的GMail帐户的用户名和密码
    的
      给他们太多的力量
    </强>
    。
  
  
    这就是OAuth的用武之地。如果您的GMail支持OAuth协议，那么LinkedIn可以要求您授权他们访问您的GMail联系人列表。
  
  
    OAuth允许：
  
  <OL>
    <LI>
      不同的访问级别：只读VS读写。这允许您授予对用户列表的访问权限或双向访问权限，以自动将您的新LinkedIn好友与您的GMail联系人同步。
    </LI>
    <LI>
      访问粒度：您可以决定仅授予您访问联系信息（用户名，电子邮件，出生日期等）的权限，也可以访问您的整个朋友列表，日历和不包含的内容。
    </LI>
    <LI>
      它允许您管理资源提供程序的应用程序的访问。如果第三方应用程序没有提供取消访问权限的机制，那么您将无法访问您的信息。使用OAuth，可以随时撤消访问权限。
    </LI>
  </醇>
  <BLOCKQUOTE>
    
      它会在不久的将来成为事实上的（标准吗？）吗？
    
  </BLOCKQUOTE>
  
    好吧，尽管OAuth是向前迈出的重要一步，但如果人们没有正确使用它，它就无法解决问题。例如，如果资源提供程序一次只为您的所有资源提供单个读写访问级别，并且不提供管理访问的机制，那么就没有意义。换句话说，OAuth是一个提供授权功能而不仅仅是身份验证的框架。
  
  
    在实践中，它非常适合社交网络模型。它特别受那些想要允许第三方“插件”的社交网络的欢迎。在这个领域，对资源的访问本身就是必要的，并且本质上也是不可靠的（即，您对这些应用程序的质量控制很少或没有）。
  
  
    我没有在野外见过这么多其他用途。我的意思是，我不知道有一家在线金融咨询公司会自动访问您的银行记录，尽管它
    
      可以
    
     从技术上讲，就是这样使用的。
  
</DIV>

2# 无语 | 2019-08-31 10-32

3# 解天 | 2019-08-31 10-32

4# 易米烊光 | 2019-08-31 10-32