1. 我把密碼獻(xiàn)給你
小梁開發(fā)了一個(gè)“信用卡管家”的程序 涨椒， 可以自動(dòng)從郵箱中讀取信用卡相關(guān)郵件，分析绽媒、匯總蚕冬，形成一個(gè)報(bào)表。
小梁找到信用卡達(dá)人張大胖試用 ： “你的信用卡那么多是辕，看看我這個(gè)程序吧囤热， 保準(zhǔn)你會(huì)愛死它』袢”
張大胖嘗試了幾下說： “咦旁蔼，你這個(gè)程序要讀取我的網(wǎng)易郵箱啊，那需要用戶名/密碼吧”
“是啊 疙教， 你把密碼告訴輸入程序不就行了棺聊， 我的程序替你加密保存，保證不會(huì)泄露松逊√善ǎ”
“得了吧你， 我可不會(huì)告訴你我的密碼经宏， 為了方便記憶犀暑， 我的密碼都是通用的， 萬一泄露了就完蛋了”
小梁說：“這樣吧烁兰，我不保存耐亏，我就訪問郵箱的時(shí)候使用一次， 用完就扔沪斟！”
“你以為你是阿里巴巴啊广辰， 有信用背書， 你只是個(gè)小網(wǎng)站主之， 我把密碼獻(xiàn)給你择吊，總是覺得不安全。就是我信任你槽奕，別人能信任你嗎几睛？”
小梁想想也是， 這是一個(gè)巨大的心理障礙粤攒， 每個(gè)人都要誓死捍衛(wèi)自己的密碼啊所森。
2. Token
過了一周囱持， 小梁興致勃勃地把張大胖拉來看“信用卡管家”的升級(jí)版。
“升級(jí)為2.0了啊焕济， 這次不用問你要網(wǎng)易郵箱的用戶名和密碼了”
“那你怎么訪問我的郵箱纷妆？”
“很簡(jiǎn)單，我提供了一個(gè)新的入口晴弃，使用網(wǎng)易賬號(hào)登錄掩幢， 你點(diǎn)了以后，其實(shí)就會(huì)重定向到網(wǎng)易的認(rèn)證系統(tǒng)去登錄肝匆， 網(wǎng)易的認(rèn)證系統(tǒng)會(huì)讓你輸入用戶名和密碼粒蜈，并且詢問你是否允許信用卡管家訪問網(wǎng)易郵箱顺献， 你確認(rèn)了以后旗国，就再次重定向到我的‘信用卡管家’網(wǎng)站， 同時(shí)捎帶一個(gè)‘token’ 過來注整， 我用這個(gè)token 就可以通過API來訪問網(wǎng)易郵箱了能曾。 在這個(gè)過程中， 我根本不會(huì)接觸到你的用戶名和密碼肿轨，怎么樣寿冕， 這下滿意了吧？”
“你說得輕松椒袍， 你這個(gè)信用卡管家是個(gè)小網(wǎng)站驼唱，還沒有什么名氣， 網(wǎng)易怎么會(huì)相信你這個(gè)網(wǎng)站呢驹暑？”
“我當(dāng)然要先在網(wǎng)易注冊(cè)一下啊玫恳， 他們會(huì)給我發(fā)個(gè)app_id 和app_secret， 我重定向到網(wǎng)易的時(shí)候需要把這個(gè)東西發(fā)過去优俘， 這樣網(wǎng)易就知道是‘信用卡管家’這個(gè)應(yīng)用在申請(qǐng)授權(quán)了京办。”
（點(diǎn)擊看大圖）
張大胖說： “ 你這重定向來重定向去的帆焕， 實(shí)際上不就是為了拿到一個(gè)token 嗎惭婿？”
“對(duì)啊，因?yàn)槟悴恍湃挝业男庞每ü芗遥?不讓它保存你的密碼叶雹，只好用token的方法了 , 它是網(wǎng)易認(rèn)證中心頒發(fā)的财饥，實(shí)際上就代表了你對(duì)信用卡管家訪問郵箱的授權(quán)，所以有了這個(gè)token 就可以訪問你的郵箱了”
"對(duì)了" 張大胖問題折晦， “你為什么用Javascript的方式來讀取token啊”
“這樣我的后端服務(wù)器就不用參與了钥星，工作都在前端搞定， 你注意到那個(gè)URL中的#號(hào)了嗎筋遭？ www.a.com/callback#token=<網(wǎng)易返回的token>”
張大胖說： “我知道啊打颤，這個(gè)東西叫做hash fragment, 只會(huì)停留在瀏覽器端暴拄， 只有Javascript 能訪問它，并且它不會(huì)再次通過http request 發(fā)到別的服務(wù)器器编饺， 我想這是為了提高安全性吧乖篷。”
小梁說： “沒錯(cuò)透且， 那個(gè)token非常非常重要撕蔼，得妥善保存，不能泄露秽誊！”
“可是在第6步通過重定向鲸沮，這個(gè)token 以明文的方式發(fā)送給了我的瀏覽器， 雖然是https 锅论，不會(huì)被別人竊取讼溺，可是瀏覽器的歷史記錄或者訪問日志中就能找到， 豈不暴露了最易？”
小梁說： “這個(gè).... 怒坯， 我說你這個(gè)家伙，安全意識(shí)很強(qiáng)烈嘛藻懒， 讓我想想剔猿，有沒有更安全的方式。"
3. Authorization Code + Token
又過了一周嬉荆，小梁成功地把信用卡管家升級(jí)為3.0.
他對(duì)張大胖說： “這次我成功地把那個(gè)非常重要的归敬、表示授權(quán)的token 給隱藏起來了， 你要不要看看鄙早？”
“你先說說你是怎么隱藏的汪茧？”
“其實(shí)整體思路和之前的類似，只是我引入了一個(gè)叫做Authorization Code 的中間層蝶锋。 當(dāng)你用網(wǎng)易賬號(hào)登錄的時(shí)候陆爽， 網(wǎng)易認(rèn)證中心這一次不給我直接發(fā)token,而是發(fā)一個(gè)授權(quán)碼(authorization code) , 我的信用卡管家服務(wù)器端取到這個(gè)code以后，在后臺(tái)再次訪問網(wǎng)易認(rèn)證中心扳缕， 這一次他才發(fā)給我真正的token 慌闭。 還是直接上圖吧：”
（點(diǎn)擊看大圖）
張大胖說： “還比較容易理解， 本質(zhì)上就是你拿著這個(gè)返回的授權(quán)碼在服務(wù)器后臺(tái)‘偷偷地’完成申請(qǐng)token 的過程躯舔， 所以token 瀏覽器端根本就接觸不到驴剔，對(duì)吧？”
“什么叫偷偷地申請(qǐng)token 粥庄？ 這是我信用卡管家服務(wù)器和網(wǎng)易之間的正常交流丧失， 只是你看不到而已∠Щィ”
“開個(gè)玩笑了布讹， 你雖然隱藏了token,但是這個(gè)授權(quán)碼確是暴露了啊琳拭，你看第7步，我在瀏覽器中都能明文看到描验， 要是被誰取到白嘁， 不也是照樣能取到token嗎？”
小梁說： “我們肯定有防御措施膘流， 比如這個(gè)授權(quán)碼和我的信用卡管家申請(qǐng)的app_id絮缅，app_secret關(guān)聯(lián)， 只有信用卡管家發(fā)出的token請(qǐng)求呼股， 網(wǎng)易認(rèn)證中心才認(rèn)為合法耕魄； 還可以讓授權(quán)碼有時(shí)間限制，比如5分鐘失效彭谁，還有可以讓授權(quán)碼只能換一次token, 第二次就不行了吸奴。 ”
“聽起來似乎不錯(cuò)， 好吧马靠， 這次我可以放心地使用了奄抽！”
4. 后記
本文講的其實(shí)就是就是OAuth 中的三種認(rèn)證方式蔼两，依次是：
- Resource Owner Password Credentials Grant(資源所有者密碼憑據(jù)許可)
- Implicit Grant(隱式許可)
- Authorization Code Grant(授權(quán)碼許可)
還有一種叫做Client credentials ,用的較少甩鳄，文章沒有涉及。
這些名稱有些古怪额划， 但是本質(zhì)沒那么復(fù)雜妙啃。 在OAuth中，還有幾個(gè)術(shù)語大家可以理解下：
資源所有者 : 就是我們上文的張大胖
資源服務(wù)器 ： 即網(wǎng)易郵箱
客戶端: 就是上文的信用卡管家
授權(quán)服務(wù)器 ： 即上文的網(wǎng)易認(rèn)證中心
