OAuth 核心 10 版 中文翻译版.docxVIP

OAuth 核心 1.0 版 中文翻译版OAuth 核心 1.0AbstractOAuth协议致力于使网站和应用程序（统称为消费方）能够在无须用户透露其认证证书的情况下，通过API访问某个web服务（统称为服务提供方）的受保护资源。更一般地说，OAuth为API认证提供了一个可自由实现且通用的方法。一个典型的例子是某打印服务提供商（消费方），希望在无须用户提供其照片存储站点密码的情况下，访问用户储存在（服务提供方）上的个人照片。OAuth不强求一个特定的用户接口或操作模式，也不限定服务提供方如何验证用户，特别适合认证证书对消费方不可用的情况，例如OpenID。 OAuth致力于为托管web服务认证提供统一的体验和实现，形成一个社区驱动的协议。OAuth构建于已被多个站点独立实现的已有协议和最佳化实践之上，是一个被大小服务提供者所支持、并为应用开发者和用户增进持续性和可信度的开放标准。--------------------------------------------------------------------------------Table of Contents1. 作者2. 记号与惯例3. 术语定义4. 文档与注册4.1. 请求URL4.2. 服务提供方4.3. 消费方5. 参数5.1. 参数编码5.2. 消费方请求参数5.3. 服务提供方响应参数5.4. OAuth HTTP认证方案6. 使用OAuth认证6.1. 获取未授权的请求令牌6.2. 获取用户授权6.3. 获取访问令牌7. 访问受保护资源8. 单次值与时间戳9. 签署请求9.1. 签署基字符串9.2. HMAC-SHA19.3. RSA-SHA19.4. PLAINTEXT10. HTTP响应代码Appendix A. Appendix A - Protocol ExampleAppendix A.1. Documentation and RegistrationAppendix A.2. Obtaining a Request TokenAppendix A.3. Requesting User AuthorizationAppendix A.4. Obtaining an Access TokenAppendix A.5. Accessing Protected ResourcesAppendix B. Security ConsiderationsAppendix B.1. Credentials and Token ExchangeAppendix B.2. PLAINTEXT Signature MethodAppendix B.3. Confidentiality of RequestsAppendix B.4. Spoofing by Counterfeit ServersAppendix B.5. Proxying and Caching of Authenticated ContentAppendix B.6. Plaintext Storage of CredentialsAppendix B.7. Secrecy of the Consumer SecretAppendix B.8. Phishing AttacksAppendix B.9. Scoping of Access RequestsAppendix B.10. Entropy of SecretsAppendix B.11. Denial of Service / Resource Exhaustion AttacksAppendix B.12. Cryptographic AttacksAppendix B.13. Signature Base String Compatibility11. References§ Authors Address--------------------------------------------------------------------------------TOC1. 作者Mark Atwood (me@)Richard M. Conlan (zeveck@)Blaine Cook (blaine@)Leah Culver (leah@)Kellan Elliott-McCrea (kellan@)Larry Halff (larry@)Eran Hammer-Lahav (eran@)Ben Laurie (benl@)Chris Messina (chris@)John Panzer (jpanzer@)Sam Quigle