yanghuahui's blog

摘要： 传统的第三方应用授权：为了让第三方应用能够访问受保护资源，资源拥有者必需将他的私有证书（用户名和密码）透露给第三方。这样，资源拥有者无法在不影响所有第三方的前提下单独撤销某个第三方的访问权限，他只能通过修改密码来回收所有权限。OAuth通过将客户端和资源拥有者的角色进行分离来解决这些问题。在OAuth中，客户端（通常不是资源拥有者，而是代表资源拥有者来操作）提出请求来访问由资源拥有者控制并由资源服务器托管的资源，然后得到与资源拥有者不同的一套私有证书。OAuth为客户端提供了一种代表资源拥有者访问受保护资源的方法。在客户端访问受保护资源之前，它必须先从资源拥有者获取授权（访问许可），然后用访问 阅读全文

摘要： 首先明确我们要实现的目标:一个云端的用户系统，这个云平台上所有的第三方应用均借助这个用户系统进行登录鉴权。实现场景:用户在其中一个第三方应用上授权登录完毕，那么其他的第三方应用识别这个用户已经登录，然后所有的第三方应用都可以调用api来操作与这个用户有关的受保护资源。用户在一台物理电脑上授权，在另外一台物理电脑上无法认为这个用户已经登录。同台电脑换个浏览器也不能登录。每个第三方应用都要有的信息：1、客户端id（可公开）2、客户端secret_key（不可公开）3、回跳url（否则服务端会被作为免费公开的跳转节点）客户端根据【客户端id和用户的授权（用户名密码）】来获取授权码，这个授权码有效期一 阅读全文