参考:http://www.ruanyifeng.com/blog/2019/04/oauth-grant-types.html
以某CSDN使用某WeChat登录为例,模拟场景:
授权码(authorization code)方式,指的是第三方应用先申请一个授权码,然后再用该码获取令牌。
这种方式是最常用的流程,安全性也最高,它适用于那些有后端的 Web 应用。授权码通过前端传送,令牌则是储存在后端,而且所有与资源服务器的通信都在后端完成。这样的前后端分离,可以避免令牌泄漏。
第一步,CSDN 网站提供一个链接,用户点击后就会跳转到 WeChat 网站,授权用户数据给 WeChat 网站使用。下面就是CSDN 网站跳转 WeChat 网站的一个示意链接。
https://wechat.com/oauth/authorize?
response_type=code&
client_id=CLIENT_ID&
redirect_uri=CALLBACK_URL&
scope=read
第二步,用户跳转后,WeChat 网站会要求用户登录,然后询问是否同意给予 CSDN 网站授权。用户表示同意,这时 WeChat 网站就会跳回redirect_uri,参数指定的网址。跳转时,会传回一个授权码,就像下面这样。
https://csdn.com/callback?code=AUTHORIZATION_CODE
第三步,CSDN网站拿到授权码以后,就可以在后端,向WeChat 网站请求令牌。
https://wexin.com/oauth/token?
client_id=CLIENT_ID&
client_secret=CLIENT_SECRET&
grant_type=authorization_code&
code=AUTHORIZATION_CODE&
redirect_uri=CALLBACK_URL
第四步,WeChat 网站收到请求以后,就会颁发令牌。具体做法是向redirect_uri, 指定的网址,发送一段 JSON 数据。
{
"access_token":"ACCESS_TOKEN",
"token_type":"bearer",
"expires_in":2592000,
"refresh_token":"REFRESH_TOKEN",
"scope":"read",
"uid":100101,
"info":{...}
}