OAuth 是一种授权协议，用于允许应用程序在不共享密码的情况下访问其他服务的资源。它支持“使用 Google 登录”或“使用 Facebook 登录”等常见功能。在数字产品中，OAuth 改善体验、增加转化并降低安全风险。本指南解释了 OAuth 是什么、它是如何工作的、存在哪些流程、何时使用它以及要避免哪些错误。
目标是为技术和产品团队提供清晰的解释，重点关注安全且与业务保持一致的实施。
什么是 OAuth
OAuth（开放授权）是一种开放标准，允许您委派访问权限。用户无需向第三方应用程序提供密码，而是直接从提供商（Google、Apple、GitHub）授权访问。该应用程序收到一个具有有限权限的令牌。
这可以保护数据，改善用户体验，并让您控制应用程序可以访问的内容。
认证和授权的区别
很多人混淆：
- **身份验证：**检查用户是谁。
- **授权：**定义他可以访问的内容。
OAuth 是一种授权协议。对于身份验证，您通常使用 OpenID Connect，它在 OAuth 之上工作。
OAuth 流程如何工作
简化形式：
- 用户点击“登录”。
- 应用程序重定向到提供商。 3）用户授权。
- 提供者返回一个令牌。
- 应用程序使用令牌访问允许的资源。
此过程可防止密码共享。
主要 OAuth 流程
授权码
更安全。用于具有后端的网络和移动应用程序。
隐式
年纪大了，安全感较差。今日废弃。
客户凭证
用于服务器之间的通信。
设备代码
在没有完整浏览器的设备上使用。
选择取决于应用程序的类型。
代币和范围
OAuth 使用访问令牌。每个令牌都有范围，用于定义权限。示例：访问电子邮件、个人资料或联系人列表。应用程序应该只询问必要的信息，以避免用户拒绝。
令牌可以过期并通过刷新令牌更新，从而确保安全性而无需持续登录。
OAuth 和社交登录
社交登录可以减少摩擦，从而提高转化率。用户无需创建密码，而是使用受信任的提供商。这可以改善用户体验并减少忘记密码的情况。
另一方面，应用程序依赖于提供商。因此，建议使用传统登录选项作为替代方案。
风险和漏洞
如果实施不当，OAuth 可能会产生风险：
- 恶意重定向。
- 泄露的代币。
- 范围过大。
- 缺乏状态验证。
良好的做法可以降低这些风险。
良好的安全实践
- 在移动应用程序中使用带有 PKCE 的授权码。
- 始终验证状态以避免 CSRF。
- 在所有阶段使用 HTTPS。
- 安全地存储令牌。
- 仅订购必要的范围。
移动应用中的 OAuth
在移动应用程序中，建议使用 PKCE，它可以防止代码拦截。登录必须打开系统浏览器以提高安全性。
API 中的 OAuth
API 使用 OAuth 来控制访问。这允许令牌具有有限的范围和快速撤销。受到良好保护的 API 可以提高可靠性和可扩展性。
何时使用 OAuth
在以下情况下使用 OAuth：
- 您想要社交登录。
- 需要从其他服务访问数据。
- 想要委托安全访问。
如果系统完全在内部并受到控制，请勿使用 OAuth。
快速清单
- 选择正确的流量。
- 实施PKCE。
- 定义最小范围。
- 验证状态。
- 使用 HTTPS。
- 监控令牌。
结论
OAuth 是社交登录和安全访问第三方数据的重要标准。如果实施得当，它可以改善用户体验并提高安全性。关键是选择正确的流程、限制范围并保护代币。从长远来看，这可以确保信任并降低风险。
##常见问题解答
1) OAuth 和登录？
不，他是授权。如需登录，请使用 OpenID Connect。
2) OAuth 安全吗？
是的，如果实施正确的话。
3) 我的应用程序中需要 OAuth 吗？
仅当您使用社交登录或访问第三方数据时。
4) PKCE 是强制性的吗？
是的，在移动应用程序中，强烈推荐在网络应用程序中使用。
5) OAuth 是否会替换密码？
不会。它可以减少密码的使用，但并不能完全消除它。
另请阅读
- [OAuth：它是什么以及真实案例的用例0
- [OAuth：它是什么、用例和快速理解它的指南1
- [Rest API 什么 E2
- [Rest API 是什么 - 逐步举例3
- [应用程序中的社交登录：实施和最佳实践4
- [应用程序中的社交登录：通过示例来规划什么有效、什么出错5