OAUTH2要素.ppt

OAUTH 2.0 介绍 当前问题 第三方应用（如beeper）需要能访问到一些服务器托管资源（如消息服务器中的用户信息等资源）。这些资源通常都是受保护的，并且要求使用资源拥有者的私有证书（典型的证书是用户名和密码）进行身份验证。 安全问题 第三方应用需要用明文保存资源拥有者的私有证书，留作以后再次使用。 如：当前beeper与消息服务器公用的同一个数据库且拥有访问用户信息的权限，直接可以访问用户所有信息。 第三方应用对资源拥有者的受保护资源获得过多的使用权限，而资源拥有者没有能力限制访问到某个资源子集，限制持续时间，或限制这些资源所能支持的访问方式。 如：beeper服务器拥有用户在消息服务器上保存的所有资源，用户将无法限制beeper服务获取资源的权限。 资源拥有者无法在不影响所有第三方的前提下单独撤销某个第三方的访问权限，只能通过修改密码来回收所有权限。 如：beeper服务器拥有用户在消息服务器上保存的所有资源，用户即使修改自己的密码，也无法取消beeper的授权。 当前消息服务器收发消息没有做身份验证。 开发问题 开发者需要为每个服务器开发登录接口 解决方案 – 授权代理(oauth2) 概述 OAuth 为客户端提供了一种代表资源拥有者访问受保护资源的方法。 在客户端访问受保护资源之前，它必须先从资源拥有者获取