从第三方OAuth提供程序检索访问令牌
是一种授权机制，用于允许用户通过第三方应用程序访问其在其他网站或服务上的数据。OAuth（开放授权）是一种开放标准，允许用户授权第三方应用程序代表他们访问受保护的资源，而无需共享其登录凭据。
在OAuth流程中，第三方应用程序充当客户端，用户充当资源所有者，而资源服务器则存储用户的受保护资源。以下是OAuth流程的基本步骤：
- 用户通过第三方应用程序请求访问其受保护资源。
- 第三方应用程序将用户重定向到第三方OAuth提供程序的授权页面。
- 用户在授权页面上登录并授权第三方应用程序访问其受保护资源。
- 第三方OAuth提供程序颁发一个授权码给第三方应用程序。
- 第三方应用程序使用授权码向第三方OAuth提供程序请求访问令牌。
- 第三方OAuth提供程序验证授权码，并颁发访问令牌给第三方应用程序。
- 第三方应用程序使用访问令牌向资源服务器请求用户的受保护资源。
通过使用第三方OAuth提供程序检索访问令牌，用户可以方便地授权第三方应用程序访问其数据，而无需共享其登录凭据。这种机制提供了更高的安全性和隐私保护，同时也简化了用户的登录和注册流程。
在腾讯云中，可以使用腾讯云的身份认证服务（CAM）来实现OAuth授权。CAM提供了一套完整的身份认证和访问管理解决方案，包括用户身份管理、权限管理和资源访问控制等功能。腾讯云CAM可以与第三方OAuth提供程序集成，以实现安全的访问令牌检索和授权流程。
推荐的腾讯云相关产品：腾讯云身份认证服务（CAM） 产品介绍链接地址：https://cloud.tencent.com/product/cam
相关·内容
请记住，我是个新手，对oauth2来说是个新手。我想要有一种oauth2的感觉，并玩它。为此，我使用offlineimap连接到我的gmail帐户并检索电子邮件。
让我复制一些配置文件，我将用来说明我的一般问题。
oauth2_client_id = clientId
oauth2_client_secret = clientSecretToken
oauth2_request_url = requestUrl
oauth2_refresh_token = refreshToken
type = IMAP
remotehost = imap.gmail.com
remoteuser = xyz
浏览 6提问于2017-09-26得票数 0
回答已采纳
因此，我需要创建一个REST来为IOS应用程序提供功能。我们允许用户注册一个普通帐户或使用Facebook/Google登录。
我最近一直在阅读OAuth，我想我理解在我的情况下如何使用OAuth (当用户使用Facebook/Google登录)在我的应用程序上注册一个帐户的过程：
我将我的IOS应用程序注册到不同的社交提供商(例如。( FB/Google)。最后，我得到了安全存储在后端的客户端ID/客户端秘密密钥。
现在，用户点击应用程序上的社交登录按钮，然后将用户重定向到社交网站登录，并允许我的应用程序使用他们的社交账户。
社交oauth提供程序将使用授权代码将用户重定向回我的
浏览 2提问于2016-05-29得票数 4
回答已采纳
我问了很多关于我的问题的问题(和)，我也问了#oauth & #openid在IRC上的频道。(这是一个“向上”的问题，这是另一个问题)
我将总结一下我的项目配置:任何人都有可能创建一个可以使用我的API的应用程序。首先，我将编写API和一个基于Web的应用程序，但是有关API的文档将是公开的。有点像Twitter。
我面临的问题是如何确定哪个用户正在使用API (检索他的个人数据，比如你的推特)，即使用户使用的应用程序我不知道是谁做的(同样，像twitter和周围的所有应用)。
我在googled上搜索了很多，在前面给出的答案的帮助下，我查看了OAuth。
据我所知，OAuth的工作
浏览 11提问于2010-12-23得票数 0
回答已采纳
1回答
OAuth术语已经困扰我很长一段时间了。OAuth授权是否如某些人所建议的那样，或者是身份验证？
如果我错了，请纠正我，但我一直认为授权是允许某人访问资源的行为，但是OAuth似乎没有任何实现来实际允许用户访问给定的资源。所有OAuth实现都在为用户提供令牌(签名的，有时是加密的)。然后，每次调用后端服务端点时都会传递这个令牌，在那里检查令牌的有效性，这也不是OAuth所关心的问题。
我认为OAuth身份验证(每篇文章都说不是)需要用户提供凭据，从而证明用户应该/不应该拥有访问权限吗？
因此，看起来OAuth既不是授权，也不是身份验证，因为它们必须由其他进程执行。那么到底是什么呢？它是一个用于
浏览 2提问于2015-11-14得票数 102
回答已采纳
2回答
实现OAUTH2最佳实践
、、、、
我正在尝试构建OAUTH2提供者(比如discord/google)，用户可以在其中创建一个具有client_id和client_secret的“应用程序”。在我研究的时候，我发现OAUTH2最适合做这种事情。
现在让人困惑的部分是主登录页面是如何工作的？
我是否也有自己的/login路由页面和POST /login来处理自己的用户，这样我就有两个表：
APIOAuthSession MyOwnSession-这将保持我自己的平台发布的访问令牌完全优于api/oauth2/token!!) -向第三方应用程序发出的令牌(跟踪client_id，以及它们拥有的scope )(由api/oauth
浏览 17提问于2022-05-21得票数 1
回答已采纳
我已经创建了一个FeathersJS后端应用程序和一个React前端应用程序。我正在使用OAuth2策略对我自己的WordPress站点的用户进行身份验证。一切都很正常。但是现在我希望用户能够访问我的FeathersJS后端REST API，但是当他们通过WordPress OAuth2服务器进行身份验证，从而通过我的React前端应用程序遵循所有OAuth2身份验证过程时，哪种正确的FeathersJS方式将允许用户对我的后端进行身份验证，以便他们可以进行REST API调用？
浏览 6提问于2019-08-20得票数 0
嘿，伙计们，我正在尝试使用Dailybooth api，并通过oauth访问用户。我对ruby/rails非常陌生，这是我第一次使用api和oauth。但事情是这样的
if params[:code] #if the code is avaible, use the code
dailybooth.oauth_token(params[:code])
@oauth_token_ = params[:code]
session[:oauth_code] = @oauth_token_
else #else, attempt to use the session
if sessi
浏览 5提问于2011-02-04得票数 0
我们正在尝试允许一个可信的第三方web应用程序自动验证我们自己的应用程序中的用户。我们考虑过在这方面使用oauth2。
在我们的场景中，我们将提供一个oauth2服务器，初始握手将类似于这样( imho是常规的oauth2 3腿机制)。假设acme是我们服务的名称。
第三方应用程序有一个connect to acme按钮
用户单击该按钮并被重定向到acme服务。
基于acme站点的基于表单的用户登录
Acme服务向用户显示3rd party wants to access your account对话框。
用户单击accept
Acme服务生成oauth2令牌并将其重定向到第三方。
第三方存储
浏览 0提问于2015-10-09得票数 4
回答已采纳
我在Rails应用程序中配置了Google登录，登录很好，但是当我尝试自动化AdWords API以获取令牌时，会引发一个异常。
AdsCommon::Errors::AuthError Authorization error occured: Authorization failed.
Server message:
{"error" : "invalid_grant", "error_description" : "Code was already redeemed."}
这是自动化的一部分。
def google_oau
浏览 2提问于2015-01-06得票数 0
回答已采纳
2回答
我正在开发一个使用OAuth协议的REST服务的Android应用程序。在第一个活动中，app显示了一个登录屏幕。这就是流程：
1)用户输入用户名和密码。
2)应用程序请求REST服务，提供用户名和密码。
3) REST服务检查凭据，如果正确，请向我的OAuth2提供者服务器请求一个OAuth2。
4) REST服务回答提供access_token和refresh_token的应用程序
5)在对REST服务器的下一个请求中(获取数据，如人员、文章.)app将提供access_token和refresh_token。
6)当REST服务处理请求时，将验证access_token (使用我的OAu
浏览 4提问于2015-04-01得票数 6
回答已采纳
有一个应用程序想要使用oAuth2与我的用户进行身份验证。
因此，他们使用authorize URL和参数(例如重定向uri)打开一个窗口。
喜欢：
现在我有了自己的防火墙-登录，当用户登录时，我从firebase获得他们的访问令牌。这就是我想要回应的。
但是，在oAuth2指南/解释(如 )中，我看到我应该返回一个授权代码，我不知道从哪里可以得到它？
我能做的是，生成一个狗屁代码，将它在DB中配对到访问令牌，然后在“令牌”请求中发送正确的访问令牌。这就是我该做的吗？
首先要说明的是，这是我第一次亲自编写oAuth2服务。
浏览 2提问于2018-03-06得票数 11
回答已采纳
1回答
描述了如何使用各种OAuth 2.0和OIDC1.0身份验证提供程序，作为使用Spring 2在授权代码授予流中标记用户的一部分。
如何在Spring中从头开始创建和快速支持这样一个符合OAuth 2标准的身份验证提供者，而不是使用Okta、谷歌、GitHub或 (LWA)？
我的用例是OAuth 2.0客户端的Alexa技能，它通过其帐户链接特性(通过LWA)配置为返回(非OID) OAuth令牌作为其授权代码流的一部分，然后通过注册的OAuth链接URL传播到我的web服务中。
从我的研究来看，似乎适合这种情况，但我不太确定这是否是最简单的选择。
最终，我要找的是--一种覆盖授权令牌的方法
浏览 0提问于2018-10-06得票数 0
2回答
我正在为一个移动应用程序构建一个REST后端。在我们的设计选择中，我们决定让OAuth2提供者处理登录安全性；但是，我不确定访问令牌的最佳实践是什么，这是我从OAuth2提供者那里获得的。
情况是，当用户登录时，我会从OAuth2提供程序获得一个访问令牌。每次移动应用程序向我的后端发出请求时，我都需要使用这个令牌，这样我就可以针对OAuth2提供者验证令牌是否仍然有效。
我知道我将创建一个JWT并将其交给移动应用程序，它将在每次发出请求时使用该应用程序。现在，我的问题是，是将从OAuth2提供程序获得的访问令牌作为声明存储在JWT中，还是将其存储在数据库中，并将其与用户ID连接，然后将其存储在
浏览 0提问于2016-02-10得票数 20
1回答
我目前有一个应用程序，它基本上运行两部分API -- web应用程序的restful和本地客户端的同步API (通过SSL)。
这个web应用程序完全基于javascript，而且与本地客户端非常相似，只是它目前无法脱机工作。
我希望做的是将这些分散的API合并到一个restful中。web应用程序目前通过向客户端发出cookie进行身份验证，而本机客户端则使用自定义HMAC访问令牌实现工作。显然，javascript应用程序的公钥/私钥场景有点毫无意义。
我认为最好的解决方案是在API上创建一个OAuth2端点(比如Instagram，例如http://instagram.com/devel
浏览 0提问于2014-04-24得票数 1
1回答
我们需要为我们的web应用程序添加新功能，它是用asp.net Core3.1和 creates 编写的，后者在Zoom (视频会议服务提供商)中创建了新的排定会议。目前这是唯一的要求，所以表面上听起来很简单。事实上，他们的api已经有了很好的文档化和易用性。现在，由于我们在服务器上使用的是asp.net核心，所以我们可以使用它的缓存功能，比如会话、内存、聊天、等等。完成这幅图片所缺少的知识是关于OAuth访问令牌的。我不确定Zoom发布的访问令牌是针对刚刚通过身份验证/授权并希望创建新会议的用户，还是针对我们的web应用程序(按照OAuth的规定，我们将web应用程序称为客户端)。因此，这意
浏览 1提问于2020-05-14得票数 1
回答已采纳
使用OAUth2 web服务器流，我已经：
用户尝试访问www.Third-Party.com/迎宾
用户重定向至www.myserver.com/oauth2/authorize
MyServer对用户进行身份验证，并将其重定向到www.Third-Party.com/迎宾?code=.
第三，Party.com在幕后与myserver.com对话，用code交换OAuth2访问和刷新令牌。
一切都很好。现在，第三方需要确定用户的规范用户名，因此它可以对资源(如www.myserver.com/api/{ username }/details )进行ReSTFUL U
浏览 2提问于2013-09-03得票数 2
我提供了一组公共web API供第三方应用程序(客户端)使用。我想跟踪这些客户端如何使用我的API，因此我需要为这些客户端生成令牌。同时，我需要对真实用户进行身份验证，不同的用户可以看到相同资源的不同表示。我知道OAuth2可以解决我的问题，但它很复杂。我更喜欢对用户和应用程序使用HTTPs + basic身份验证，因此我将在客户端和实际用户的HTTP头中使用不同的属性。这是合适的方式吗？
浏览 7提问于2014-03-25得票数 0
2回答
我正在升级我的服务并使用oAuth2实现webclient，而且我得到的例外是“tokenType不能为null”，请您帮助我解决这个问题。
异常:在试图检索org.springframework.security.oauth2.core.OAuth2AuthorizationException: 2.0访问令牌响应时发生了错误:在提取类型为org.springframework.security.oauth2.core.endpoint.OAuth2AccessTokenResponse和内容类型的应用程序/json的响应时出错；嵌套的异常是org.springframework.http.
浏览 6提问于2019-10-30得票数 4
回答已采纳
3回答
我试图弄清楚如何在两个不同的应用程序上使用OAUTH2执行单点登录。目前，根据我的理解，我可以使用身份验证提供程序来验证我的客户端。程序如下：
客户端被重定向到身份验证提供者applicationThe ，然后客户机是loggedin并具有代码客户端向我的服务器提供代码以检索访问令牌。使用访问令牌，使用远程API来检索信息< code >G 211</ code >
现在，我在另一个后端(PHP)中有了第二个应用程序，我想告诉您，用户已经通过OAUTH登录了。我的天真解决方案是向第二个应用程序提供第一个应用程序的访问令牌，以执行身份验证。但是，我知道我不允许在应用程序之
浏览 7提问于2020-09-03得票数 1
1回答
在OAuth2规范中，可以预见在客户端完全运行的应用程序(浏览器、手机等)中进行身份验证。因此，他们无法保护他们的代码/数据。
在关于Security Considerations的备忘录中，他们说您不应该在我们的代码中存储凭据(出于明显的原因，我认为)：
此外，在关于本地客户端的备忘录中，他们强烈建议授权服务器不需要应用程序机密：
因此，在不使用客户端秘密的情况下，应该可以使用" client“授予类型获得访问令牌，如下所示：
总之，在Github文档中，声明了client_secret必须检索access token
根据官方规范，您应该能够做到这一点，但是我无法找到一种
浏览 6提问于2019-11-08得票数 5
我需要以编程方式从Google Analytics检索数据，以便生成一些报告，因此OAuth 2.0不是一个选项，因为它要求用户授权。有没有一种方法可以使用v3密钥从GA API API检索数据？谢谢!
浏览 3提问于2012-08-24得票数 0
回答已采纳
3回答
问题：当我使用oauth2 (从服务器启动)对用户进行身份验证时，如何从oauth2回调获得初始用户id，以便将其映射回服务器上的初始auth请求？
Contex:
我正在开发一个网络应用程序，我需要让用户授权访问他们的谷歌日历。
考虑oauth流：
web客户端(发送请求到) -> 后端(发送oauth请求到) -> google (授予访问) -> 后端(我如何知道用户在此步骤中存储refresh_token?)
以下是更详细的缺省流：
用户登录到我的web应用程序(客户端)
web应用程序要求用户启动oauth2流(client)。
将"start
浏览 0提问于2019-04-28得票数 4
回答已采纳
我的应用程序获取oauth2.0令牌来访问受保护的资源，但是我如何区分用户，例如，如果有userA和userB。UserA可以访问url /accout/info.jso?uid=2来获取他的数据，但我的问题是，如果userA获得了令牌，但他通过url /accout/info.jso?uid=userBId访问userB的数据，oauth2.0系统如何避免这种问题？
浏览 26提问于2013-07-30得票数 0
我是OAuth新手，虽然我已经浏览了许多文档，但我似乎还没有一个很好的架构/设计来构建一个安全的web应用程序，回答了大多数/所有OWASP前十名
我的新手问题是
为什么我不能完全依赖OAuth呢？为什么用户在我自己的application?If中需要凭据?如果我保存它，我需要散列/盐分吗？我不存储任何密码，但是令牌呢？我仍然需要持久化用户，这样他们就不会每次登录(就像在操作系统中那样)--我是否以某种方式使用OAuth令牌(保存它？或者使用普通的老httpOnly安全cookie (如果是，如果是这样的话，如果他们从Oauth提供者登录会发生什么呢？在这种情况下，我不应该忽略我的cookie
浏览 2提问于2012-02-21得票数 1
回答已采纳
我希望从Twitter1API迁移到1.1，我知道需要使用oAuth来验证我的请求。
我的应用程序目前所做的就是检索设置的用户时间线，并将其显示给应用程序用户。
我不希望用户必须登录到twitter才能查看用户的时间表。使用限制不是问题(每15分钟15个)
有人能告诉我下一步该怎么做吗?我希望我的部署目标保持在4.3，而不是在twitter iOS单用户OAUTH上查找文档。
谢谢,
浏览 0提问于2012-12-13得票数 0
回答已采纳
2回答
我正在用a开发一个SPA应用程序，对于实现身份验证和授权的正确方法我有很多困惑。
首先，应用程序是一个第三方应用程序，这意味着我正在开发授权服务器和资源服务器。
登录应用程序的用户必须能够完全访问平台上的资源。
所以，我正在使用OAuth2.0来做这件事，我对协议的领域以及安全问题都有一些疑问。
第一个问题：
第一个问题是，是否应该实际使用OAuth来授权第三方应用程序。据我理解，这是一种委托协议，用于在用户同意的情况下，授予第三方应用程序对平台上用户资源的受控访问。这如何适合于一个第三方应用程序的上下文？在这种情况下，应用程序应该获得一个允许完全访问的访问令牌，对吗？
第二个问题：
因为这是
浏览 6提问于2020-02-21得票数 8
在OAuth协议中，服务使用者将要求用户在服务提供者域中授权请求令牌，然后从服务提供者将请求令牌交换为访问令牌。
我想知道为什么OAuth被设计成在协议中有两个令牌。
为什么不在这个过程中只使用一个令牌呢？也就是说，用户将授权令牌，服务使用者将使用(令牌)从提供者检索信息。
浏览 6提问于2010-08-27得票数 46
回答已采纳
1回答
我正在使用Spring的WebClient为服务请求提供服务，它要求将一个OAuth2承载令牌作为请求的头添加。我可以相对轻松地创建一个ExchangeFilterFunction，该拦截请求、检索访问令牌、将其添加到标头并继续进行。由于这不是用户请求，所以SecurityContextHolder不包含一个为我保存访问令牌的身份验证，所以我不想从中检索，而是希望基于我的Spring安全配置(当前在spring.security.oauth2.client.registration和提供者属性中定义)获得一个访问令牌。
我现在做这件事的方法是Autowiring一个OAuth2ClientCo
浏览 6提问于2022-02-10得票数 0
我使用Symfony2.0和FOSOAuthServerBundle (它实现了OAuth2 )来管理我的应用程序客户端对我的PHP服务器的访问。
一切都很完美，任何标记的产生，刷新等等.
获得的效果之一是，每当我进入应用程序，我不需要重新输入我的凭证，因为令牌仍然有效，否则，我使用适当的API方法刷新它。
典型的行为到目前为止都很完美。
现在，我需要在我的应用程序中开发一个“注销”按钮，以使用户的令牌失效，并避免为他使用任何refresh_token。某种程度上撤销他的令牌和/或凭据。换句话说，真正模拟从服务器注销导致用户下次进入应用程序时重新输入他的凭证。
OAuth2为此设置了什么？它是
浏览 4提问于2014-03-01得票数 2
回答已采纳
我已经实现了一个OAuth 1.0a提供程序，并且使用标准的3腿身份验证，OAuth客户机可以成功地对它进行身份验证。
OAuth在我的服务器上保护一个REST，我有一个移动应用程序在使用它。
在我的移动应用程序中，我有一些功能(端点)，甚至在终端用户登录到他们的私人帐户之前就可以访问。
有些用户甚至可能只想使用公共功能而不创建帐户。
我想用OAuth保护“公共”和“私人对用户”端点。
因此，我认为使用OAuth的方法如下(但我可能是wrong...very错了)。
这款移动应用程序第一次发布时，将首先进行两条腿的认证。这样，移动应用程序就能得到一个“两条腿”的令牌。移动应用程序将使用此令牌访
浏览 6提问于2013-08-19得票数 12
回答已采纳
3回答
我最近正在处理Go REST服务，但我不知道是否有任何现成的OAUTH2服务器可用？
由于我的服务将被一个单一页面的web应用程序以及移动客户端所消耗，用户应该能够注册他们的帐户，所以我正在考虑一台OAUTH2服务器。
我一直在搜索，发现标准包只包含客户端代码。
有一个内置于Go中的OAUTH2服务器()，但是我没有太多的专业知识来检查它。
因此，生产应用程序可用的选项是什么？由于nodejs的成熟，我是否应该使用另一种技术实现的OAUTH服务器？
编辑:在.Net空间中，上有一个服务器实现
不过，我更喜欢进去的东西。
浏览 12提问于2015-09-06得票数 0
回答已采纳
我已经构建了一个简单的Spring Boot应用程序，它使用@EnableOAuth2Client注释充当OAuth 2.0客户机。我的应用程序正在创建一个OAuth2RestTemplate，并且OAuth舞蹈非常成功。
问题是，当我访问我的应用程序时，例如在http://localhost:8080/someRequest (其中服务该资源的方法使用OAuth2RestTemplate#getObject方法来检索一些远程资源)，我最终得到了一些东西。就像我浏览器里的http://localhost:8080/someRequest?code=ABC&state=DEF。
有没有办
浏览 0提问于2015-10-13得票数 0
1回答
根据这里()和许多其他事情，我遇到了。OAuth不是用来处理最终用户身份验证的。通过上面的文章和其他，同时搜索提供了如此多的信息，从这么多的角度，这是很难看穿它。好的..。
，这是否意味着.
A)协议本身并不打算处理身份验证，因此，OAuth客户端应用程序应该检查“谁”可以根据OAuth提供者授权用户？
如果只有用户可以授权第三方应用程序，那么接受OAuth提供者本身的授权这一事实不就是身份验证的证据吗？(如果是这样的话，那么来自Google和Facebook等地的OAuth访问令牌可以作为身份验证信任吗？)
B) OAuth客户端应用程序不能信任使用OAuth进行身份验证的用户，因此必须同时
浏览 1提问于2018-01-31得票数 0
我对这件事有点陌生，如果我问一些愚蠢的问题，请耐心等待。
据我所知，会话是保存在服务器(文件或数据库中)的东西，客户端通过在cookie中保存的sessionid访问它。为了保存用户登录信息，我们可以简单地将“logged_in”列和“过期”列放在会话文件或会话表中。
据我所知，Oauth2.0是为第三方客户端设计的，用于访问服务器。整个过程由一个access_token控制，它非常类似于sessionid (至少据我所知)。
所以，我的问题是，是否可以使用Oauth2.0来完全取代会话？也就是说，甚至人们都在使用我设计的网站(不是第三方网站)来访问我自己的服务器？因此，我有一个统一的授权框架
浏览 2提问于2013-09-08得票数 1
回答已采纳
我的应用程序架构如下:我有一个web服务(在GAE上运行，与这个问题不太相关)，该服务包含的数据通过网站以及移动和桌面应用程序提供。
目前，用户通过Google ClientLogin对网站进行身份验证，应用程序通过GAE内置的oauth提供商进行身份验证/获得授权。(OAuth在这里主要用于身份验证，我的应用程序实际上并不通过OAuth使用任何外部数据，只使用用户的唯一ID和电子邮件地址。)
我想要做的是扩大用户可以用来登录的服务的数量。由于应用程序的复杂因素，似乎我需要OAuth。但是我真的不能正确地概念化这个流程。
让我们以Facebook为例。当移动应用程序通过Facebook oau
浏览 0提问于2011-11-03得票数 17
回答已采纳
我已经成功地与几个不同的提供者(YouTube、CoHuman等)完成了YouTube事务。现在我想试着同时做两个。例如，提供一个应用程序，允许同时拥有YouTube和CoHuman帐户的用户授权我的应用程序代表他们访问两个web。
我无法理解的是，当涉及到OAuth参数时，如何分离事务。回调之后，将有一个oauth_token参数通过URL参数传递给会话的其余部分。那么，如果只有一个名为OAuth oauth_token的URL参数，那么如何与两个URL提供程序同时管理会话呢？我确实分配了一个用户ID，并且使用了数据库存储，而不是会话存储。但是，如何同时管理来自两个不同提供商的两个oauth
浏览 3提问于2011-07-26得票数 1
回答已采纳
现在，我已经阅读了许多关于这方面的不同的编写，但对于OpenID连接在OAuth 2.0之上提供的主要价值，我仍然不清楚。
我的理解是：
当通过OAuth 2.0流接收访问令牌时，客户端确实知道授权服务器对用户进行了身份验证。似乎OpenID连接只是添加了用户信息的ID令牌，但是这些信息可能是访问令牌的一部分，或者可以通过受保护的资源(比如单独的userDetails资源)获得。这似乎不能证明OpenID连接的创建是正当的，所以我确信我遗漏了一些东西.
谢谢你的帮忙!
添加更多细节，这些细节太长，不能发表评论。到目前为止，非常感谢你的帮助。
我想我越来越近了，多亏了你的回应。因此，我回顾了本文
浏览 3提问于2015-11-26得票数 8
1回答
我正在通过Django的auth与用户一起开发Django应用程序，另一方面，有一个Oauth2.0服务器已经注册了所有用户及其权限。我现在的目标是将Django应用程序与Oauth2.0服务器集成，这样我们就不必自己管理用户了。这将使得当用户想登录我们的应用程序时，他们被重定向到Oauth2.0登录站点，然后在成功登录后重定向到我们的应用程序的主页。
我想我理解Oauth2.0是如何工作的，但我有几个问题在其他地方找不到。
我描述的场景有可能吗？与用户一样，用户将不再需要在我们的应用程序中注册，第三方Auth服务器将提供对我们的应用程序的访问。
当我在用户登录后获得访问令牌后，在哪里保存访问
浏览 4提问于2016-12-01得票数 0
我们希望使用自己的用户表进行身份验证，使用OAuth2提供REST。还有，我们需要允许社会登录。以下是社交登录的流程，
我们的OAuth
客户端为我们的服务器创建auth和access令牌URL以接收访问令牌
客户端将access_token作为承载令牌发送给报头中的进一步调用。
社会登录
客户端为社会登录服务器(用于ex，)制作auth和access令牌URL以接收访问令牌
客户端将access_token发送给头部中的进一步调用。
我们已经用Spring实现了我们的OAuth，并且运行得很好。我们有关于社交登录的问题，
如何识别我们自己的Oauth访问令
浏览 0提问于2018-01-19得票数 1
回答已采纳
我正在尝试为我的API实现OAuth 2.0。我使用第三方库作为基本的OAuth提供程序、django-OAuth2提供程序和Tastypie作为框架。这些细节不应该太重要。OAuth 2.0可以工作--当创建用户时，将创建一个OAuth 2客户机来管理用户的secret_key和他们的id。然后，客户可以提供他们从用户创建端点获得的用户ID，以及他们的用户名和密码，以获得允许他们使用API端点的访问令牌。
我遇到的问题是检索客户端id (必须传递到访问令牌的请求)。显然，当第一次创建用户时，我可以使用HTTP返回client_id。但是，在此之后，显然会出现这样的情况，即用户没有在本地存储他
浏览 2提问于2013-12-12得票数 2
回答已采纳
1回答
我正在尝试从WCF服务调用OAuth2.0API来检索accessToken。我使用下面的代码成功地调用了Azure中的OAuth2.0 API： // Create confidential client application
IConfidentialClientApplication app = ConfidentialClientApplicationBuilder.Create(oAuthAuthenticationConfig.ClientId)
浏览 19提问于2021-07-03得票数 1
2回答
我正在设置Stripe解释 (独立帐户)。我在我的节点服务器上处理access_token的授权和检索。
用户可以访问链接MY_SERVER_URI/authorize，并将重定向到预定义的条形AUTHORIZE_URI。
app.get("/authorize", function(req, res) {
// Redirect to Stripe /oauth/authorize endpoint
res.redirect(AUTHORIZE_URI + "?" + qs.stringify({
response_type: "cod
浏览 2提问于2015-10-18得票数 1
回答已采纳
1回答
我正在尝试使用Destini2API并检索从它们的API中发送的信息，并且是新到OAuth2的，检索授权代码是我遇到麻烦的地方。
我有这样的代码：
async function get(url, callback) {
var clientID = process.env.BUNGIE_CLIENTID;
var authorizationCode = 'CODE_GOES_HERE';
var xhr = new XMLHttpRequest();
xhr.open("POST", "https://www.bun
浏览 1提问于2021-03-22得票数 0
回答已采纳
当使用oAuth2 ( Javascript版本)实现Facebook登录时，我从Facebook服务器收到一个访问令牌。到目前一切尚好。
我遇到的问题是，我希望实现一个RESTful后端，其中用户需要使用服务器生成的令牌对访问后端资源的每个请求进行身份验证。当在我的网站上使用标准登录(电子邮件+密码)时，这个令牌将由我自己的应用程序在服务器上生成，然后被发送到存储它的前端(所有事务都发生在https上)。
因此，如果用户想使用Facebook登录，我就考虑使用从Facebook收到的访问令牌将其存储在后端。这样，对后端的每个RESTful请求都可以根据此令牌进行检查。
但是，问题是后端无法检
浏览 0提问于2014-06-16得票数 4
4回答
我正在使用Django Rest框架构建一个API。后来，这个API应该由iOS和Android设备使用。我想让我的用户注册OAuth2提供商，如Facebook和Google。在这种情况下，他们根本不必在我的平台上创建一个帐户。但是当没有Facebook/Google帐户时，用户也应该能够注册，我使用django-oauth工具包，所以我有自己的OAuth2提供程序。
对于外部提供者，我使用python，它工作良好，并自动创建用户对象。
我希望客户端通过使用承载令牌进行身份验证，这对于与我的提供者注册的用户( Django -oauth-toolkit提供了Django REST Frame
浏览 0提问于2014-11-20得票数 65
回答已采纳
我正在为一个定制的、基于网络的社交网络应用程序开发一个本地移动应用程序。我们正在构建一个REST来与web服务器通信，我们选择了OAuth2作为身份验证方法( grant_type=password流)。
该网络应用程序允许用户登录和注册使用外部服务(即。( Facebook和Twitter)。我们也需要在移动应用上允许同样的情况发生。问题是:我们如何做到这一点？
Pinterest移动应用程序能够管理这种情况(见附图)。这里用的是什么流程？
他们的行为是否像一个经典的OAuth驱动的应用程序(移动应用程序直接作为OAuth客户端使用Facebook？)。如果是这样的话，那么移动应用
浏览 8提问于2012-07-04得票数 18
我正在使用Django REST框架设置一个新的API，我有点困惑如何设置身份验证。我正在设置的API是由公众使用的，我希望他们拥有尽可能大的灵活性。
DRF提供基本身份验证、会话身份验证和令牌身份验证。使用另一个包，还可以添加OAuth2身份验证。
如果我将我的API设置为具有令牌身份验证--这是开箱即用的--为什么我需要设置OAuth2？我读过一些关于这一点的文章，但是由于DRF的令牌Auth是相当定制的，所以我无法找到比较这两种方法的方法。
据我所知，OAuth只是令牌Auth的一种高级形式，那么为什么还要安装和配置它呢？
浏览 11提问于2015-09-22得票数 5
回答已采纳
1回答
目前，我正在开发一个基于桌面C#的应用程序，使用OAuth 2.0协议进行授权。因此，我可以毫不费力地获取客户端访问和刷新令牌。
因此，OAuth 2.0告诉我们，我们需要访问令牌来从我的服务中检索数据。然而，在阅读了关于它的Amazon文档后，我完全迷惑了，因为他们使用了另一种方式(Access-Key)，生成Access-Keys和临时密钥以及其他方式。
那么我们为什么需要访问令牌呢？有没有其他方法可以做到这一点，使用访问令牌，而不必处理amazon SDK？
谢谢
浏览 0提问于2019-02-11得票数 0
1回答
我正在为一个项目使用Google Drive API。当通过Google Drive通过OAuth 2.0实现获得访问令牌时，用户需要登录到他/她的帐户并允许我的应用程序访问，从而通过web界面授予访问权限。无论如何，我可以获得访问令牌，而用户不必允许通过网页进行访问。
例如，是否可以通过直接提供用户的用户名和密码来获得访问令牌。在这方面的任何帮助都将不胜感激。
浏览 1提问于2012-10-03得票数 0
回答已采纳
我正在尝试构建一个应用程序，该应用程序定期从第三方API获取数据，第三方API要求使用reCAPTCHA保护的OAuth 2.0授权代码流和PKCE进行身份验证。我想，手动实现授权协议并不是什么大事，但我愿意使用Spring Security OAuth Client以reactive的方式来实现。
目标是有一个计划的任务，它只从API获取数据，直到我在浏览器中手动打开登录页(当前是REST端点)，将我转发到API供应商的登录页面。在成功的身份验证之后，计划的任务也应该能够访问API。
当前的类结构如下：
MyController#showData和MyScheduler#fetch
浏览 13提问于2022-10-07得票数 1
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
腾讯会议
实时音视频活动推荐
腾讯云开发者
