kestrel 網(wǎng)頁(yè)授權(quán)

說(shuō)明

• 本文提到的http://www.kestrel.com 為 授權(quán)服務(wù)器棒拂，視實(shí)際情況進(jìn)行修改
• 目前提供的調(diào)用的客戶端信息{client_id:"C001", client_secret:"123456"}

網(wǎng)頁(yè)授權(quán)流程

1. 引導(dǎo)用戶進(jìn)入授權(quán)頁(yè)面同意授權(quán)，獲取code
2. 通過(guò)code換取網(wǎng)頁(yè)授權(quán)access_token(與基礎(chǔ)支持中的access_token不同)
3. 如果需要，開(kāi)發(fā)者可以刷新網(wǎng)頁(yè)授權(quán)access_token居灯，避免過(guò)期
4. 通過(guò)網(wǎng)頁(yè)授權(quán)access_token和openid獲取用戶基本信息（支持UnionID機(jī)制）

第一步: 用戶同意授權(quán)径密，獲取code

引導(dǎo)用戶進(jìn)入授權(quán)頁(yè)面，地址如下:

http://www.kestrel.com/oauth/authorize?client_id=CLIENT_ID&response_type=code&redirect_uri=<REDIRECT_URI 接收code的接口地址>&state=STATE

參數(shù)說(shuō)明

用戶同意授權(quán)后

如果用戶同意授權(quán)，頁(yè)面將跳轉(zhuǎn)至 redirect_uri/?code=CODE&state=STATE生蚁。

code說(shuō)明 ： code作為換取access_token的票據(jù)噩翠，每次用戶授權(quán)帶上的code將不一樣，code只能使用一次邦投，有效時(shí)長(zhǎng)5分鐘伤锚。

第二步：通過(guò)code換取網(wǎng)頁(yè)授權(quán)access_token

curl -X POST -H "Content-Type: application/x-www-form-urlencoded" -d 'grant_type=authorization_code&code=<CODE>&redirect_uri=http://www.myapp.com/verifyCode' "http://client_id:client_secret@www.kestrel.com/oauth/token"

參數(shù)說(shuō)明

返回說(shuō)明：

### 正確時(shí)返回的JSON數(shù)據(jù)包如下
{
    "access_token": "T2tRZERkTWJENkdHbGR2UFBRcTVTT25XRm5ZWlhzWmZXVEt6NWE5QmdKN2Y5RnFpZ2Zac1lTMkRZcFdMWEZaMWhFS0luMFYxN2NjWkp0S3BMMTVLZE9ZRjAzVVVhMQ==",
    "token_type": "bearer",
    "refresh_token": "a308c3c8-7bfa-4270-9d2d-ef3c760720ab",
    "expires_in": 6514,
    "scope": "api_userinfo",
    "openid": "1234567890"
}

### 使用錯(cuò)誤的code時(shí)返回
{
    "error": "invalid_grant",
    "error_description": "Invalid authorization code: 93efc2638ee84281aa7555589450d349"
}

第三步：刷新access_token（如果需要）

由于access_token擁有較短的有效期志衣，當(dāng)access_token超時(shí)后屯援，可以使用refresh_token進(jìn)行刷新，refresh_token有效期為30天念脯，當(dāng)refresh_token失效之后狞洋，需要用戶重新授權(quán)。

獲取第二步的refresh_token后绿店，請(qǐng)求以下鏈接獲取access_token：

curl -X POST -H "Content-Type: application/x-www-form-urlencoded" -d 'grant_type= refresh_token&scope=api_userinfo&refresh_token=<REFRESH_TOKEN>’ "http://client_id:client_secret@www.kestrel.com/oauth/token"

參數(shù)說(shuō)明

返回說(shuō)明

## 正確時(shí)返回的JSON數(shù)據(jù)包如下：
{
    "access_token": "Nmc1RVR6cGtRNWk2VHJRdkhLblozdVJ3WERPSVc4dzRCc3JLTVhhVHZnYU1aeTZOcEtkZ0UwT3NrTEFzdEtCemRVTkFEcXdBVW1QSVVLUzFnNVkwMmNsMHlDemJRQQ==",
    "token_type": "bearer",
    "refresh_token": "a308c3c8-7bfa-4270-9d2d-ef3c760720ab",
    "expires_in": 7199,
    "scope": "api_userinfo",
    "openid": "1234567890"
}

## 異常
{
    "error": "invalid_grant",
    "error_description": "Invalid refresh token: a308c3c8-7bfa-4270-9d2d-ef3c760720ab1"
}

第四步：拉取用戶信息(需scope為 api_userinfo)

請(qǐng)求方法

http：GET（請(qǐng)使用https協(xié)議） http://www.kestrel.com/demo/userinfo?access_token=ACCESS_TOKEN&openid=OPENID

參數(shù)說(shuō)明

有效時(shí)長(zhǎng)說(shuō)明

• code 有效時(shí)長(zhǎng) 60 * 5 秒 (5分鐘)
• access_token 有效時(shí)長(zhǎng) 60 * 60 * 2 秒 (2小時(shí))
• refresh_token 有效時(shí)長(zhǎng) 60 * 60 * 24 * 30 秒(30 天)

防范csrf 攻擊

作為第三方應(yīng)用的開(kāi)發(fā)者吉懊，只需在OAuth認(rèn)證過(guò)程中加入state參數(shù)，并驗(yàn)證它的參數(shù)值即可假勿。具體細(xì)節(jié)如下：

• 在將用戶重定向到OAuth2的Authorization Endpoint去的時(shí)候借嗽，為用戶生成一個(gè)隨機(jī)的字符串，并作為state參數(shù)加入到URL中转培。
• 在收到OAuth2服務(wù)提供者返回的Authorization Code請(qǐng)求的時(shí)候恶导，驗(yàn)證接收到的state參數(shù)值。如果是正確合法的請(qǐng)求堡距，那么此時(shí)接受到的參數(shù)值應(yīng)該和上一步提到的為該用戶生成的state參數(shù)值完全一致甲锡，否則就是異常請(qǐng)求。
• state參數(shù)值需要具備下面幾個(gè)特性：
  • 不可預(yù)測(cè)性：足夠的隨機(jī)羽戒，使得攻擊者難以猜到正確的參數(shù)值
  • 關(guān)聯(lián)性：state參數(shù)值和當(dāng)前用戶會(huì)話（user session）是相互關(guān)聯(lián)的
  • 唯一性：每個(gè)用戶缤沦，甚至每次請(qǐng)求生成的state參數(shù)值都是唯一的
  • 時(shí)效性：state參數(shù)一旦被使用則立即失效