OAuth 2.0 授权框架

Abstract

OAuth 2.0授权框架使第三方应用程序能够代表资源所有者获得对HTTP服务的有限访问权，方法是协调资源所有者和HTTP服务之间的批准交互，或者允许第三方应用程序代表自己获得访问权。本规范取代并废除RFC 5849中描述的OAuth 1.0协议。

1. 介绍

OAuth通过引入授权层并将客户端角色与资源所有者角色分离来解决这些问题。在OAuth中，客户端请求访问由资源所有者控制并由资源服务器托管的资源，并且得到与资源所有者不同的一组凭据

客户机没有使用资源所有者的凭据来访问受保护的资源，而是获得一个访问令牌——一个表示特定范围、生存期和其他访问属性的字符串。通过资源所有者的批准，授权服务器将访问令牌发送给第三方客户端。客户端使用访问令牌访问由资源服务器托管的受保护资源。

例如，终端用户(资源所有者)可以授予打印
服务(客户)访问存储在照片共享服务(资源服务器)的受保护照片，而不与打印服务共享她的用户名和密码。相反，她直接通过照片共享服务信任的服务器进行身份验证(授权服务器)，它发出打印服务授权特定的凭据(访问令牌)。