oauth20单点登录视频，oauth2单点登录原理

本文目录导读：

1. OAuth2.0简介
2. 单点登录（SSO）概念
3. OAuth2.0单点登录原理

《深入理解OAuth2.0单点登录原理》

OAuth2.0简介

OAuth2.0是一个开放标准，用于授权第三方应用访问用户在某个服务提供商（如Google、Facebook等）上存储的资源，而无需将用户名和密码提供给第三方应用，它通过定义一系列角色（资源所有者、客户端、授权服务器和资源服务器）和流程来实现安全的授权机制。

单点登录（SSO）概念

单点登录是指在多个相关但独立的系统中，用户只需登录一次，就可以访问所有相互信任的系统，这大大提高了用户体验，减少了用户记忆多个账号密码的麻烦，同时也方便了系统管理员进行统一管理。

OAuth2.0单点登录原理

（一）角色与流程概述

1、资源所有者（User）

- 这是最终用户，拥有要被访问的资源（例如用户的个人信息、照片等），在单点登录场景下，用户希望通过一个账号登录多个相关系统。

2、客户端（Client）

- 可以是想要访问用户资源的第三方应用或者是同一家企业内的其他系统，企业内部有多个业务系统，如办公系统、财务系统等，这些系统如果要实现单点登录，它们相对于统一认证中心（授权服务器）来说就是客户端。

- 客户端在OAuth2.0流程开始时向授权服务器请求授权，它需要向授权服务器注册，获取客户端标识（client_id）和客户端密钥（client_secret）等信息。

3、授权服务器（Authorization Server）

- 负责验证用户身份，并向客户端颁发访问令牌（access token），在单点登录场景下，它是整个单点登录体系的核心，负责对用户进行集中认证，它管理着用户的账号信息、权限信息等。

- 当客户端请求授权时，授权服务器会引导用户进行登录（如果用户未登录），并询问用户是否同意授予客户端访问权限。

4、资源服务器（Resource Server）

- 实际存储用户资源的服务器，在单点登录系统中，不同的业务系统可能有自己的资源服务器，这些资源服务器信任授权服务器颁发的访问令牌，当客户端携带有效的访问令牌来请求资源时，资源服务器会根据令牌中的信息判断是否允许访问。

（二）具体流程

1、授权请求

- 当用户首次访问客户端系统（例如企业的办公系统）时，客户端检测到用户未登录（通过检查本地的登录状态或者没有有效的访问令牌等方式），然后客户端将用户重定向到授权服务器的授权端点，同时带上客户端标识（client_id）、重定向URI（redirect_uri）等参数，重定向URI是授权服务器在完成授权后将用户重定向回客户端的地址。

- 客户端发送的请求可能类似于：https://authorization - server.com/authorize?client_id = [client - id]&redirect_uri = [redirect - uri]&response_type = code等，其中response_type = code表示请求授权码（这是一种常见的授权类型）。

2、用户认证与授权同意

- 授权服务器接收到请求后，如果用户未登录，会显示登录页面让用户登录，登录成功后，授权服务器会显示一个授权页面，告知用户客户端正在请求访问某些资源，询问用户是否同意授权。

- 这一步骤确保了用户明确知道哪些客户端在请求访问自己的资源，并且只有在用户同意的情况下，授权流程才会继续。

3、授权码颁发

- 如果用户同意授权，授权服务器会向客户端的重定向URI发送一个授权码（authorization code），这个授权码是一次性的、短期有效的代码，授权服务器会将用户重定向到https://client - system.com/callback?code = [authorization - code]，authorization - code]就是授权码。

4、访问令牌请求

- 客户端接收到授权码后，使用授权码向授权服务器请求访问令牌，客户端需要在请求中包含授权码、客户端标识（client_id）、客户端密钥（client_secret）以及重定向URI等信息，这一步是在客户端的后台进行的，不会暴露给用户。

- 授权服务器验证客户端的请求信息，包括验证授权码的有效性、客户端标识和密钥是否匹配等，如果验证通过，授权服务器会颁发访问令牌（access token）给客户端，访问令牌包含了用户的身份信息、权限信息以及有效期等内容。

5、资源访问

- 客户端得到访问令牌后，就可以使用这个令牌向资源服务器请求用户资源，当客户端向资源服务器发送请求时，会在请求头中包含访问令牌（使用Authorization: Bearer [access - token]的格式）。

- 资源服务器接收到请求后，会验证访问令牌的有效性，如果令牌有效，资源服务器会根据令牌中的权限信息决定是否允许客户端访问请求的资源，并将资源返回给客户端。

（三）单点登录中的应用

1、跨系统共享身份信息

- 在企业内部多个系统实现单点登录时，授权服务器一旦认证了用户身份并颁发了访问令牌，这个用户就可以凭借该令牌在其他相关系统（作为客户端或资源服务器的系统）中进行访问，用户在办公系统登录后，使用相同的身份可以无缝访问财务系统进行费用报销相关操作。

2、统一权限管理

- 授权服务器可以集中管理用户的权限，当用户在不同系统之间切换时，各个系统可以根据访问令牌中的权限信息来确定用户在本系统中的操作权限，这样可以避免在每个系统中单独管理用户权限，提高了权限管理的效率和一致性。

OAuth2.0单点登录通过定义清晰的角色和流程，实现了在多个系统间安全、高效地共享用户身份认证和授权信息，为用户提供了便捷的登录体验，同时也为企业的系统集成和管理提供了有力的支持。

标签： #oauth2.0 #单点登录 #视频 #原理