共 3 篇相关文章
这篇技术文章用一次具体的 GitHub 登录授权经历，拆解了 OAuth 2.0 认证流程的核心逻辑。 作者以“访客在网站上用 GitHub 账号留言”为场景，将复杂的认证流程分解为四个直观的步骤：网站与 GitHub 预先协商权限、用户确认授权并获取临时凭证 code、网站使用自身凭证换取最终访问令牌 access_token，最后用该令牌获取用户信息。文章通过“门票”、“盖章”、“绿卡”等生动比喻，把 Client ID/Secret、授权码、访问令牌这些抽象概念及其作用解释得非常清楚，特别是强调了每一步的安全考量——比如为何不能直接用 code 访问数据，以及令牌的权限范围与有效期管理。 对于想理解 OAuth 2.0 “为什么这么设计”以及“各环节如何衔接”的开发者来说，这篇短文提供了一个从理论到实践的清晰视角，能帮助快速建立对该协议运作机制的全局认知。
这篇讲的是新浪微博 OAuth 2.0 授权流程的实现细节。作者从一次实际应用接入遇到的授权后身份丢失问题出发，深入拆解了授权码模式的四个关键步骤：用户授权、获取授权码、换取访问令牌以及令牌刷新。文章不仅梳理了标准流程，更着重分析了微博实现中容易被忽略的部分，例如 `state` 参数如何有效防御 CSRF 攻击、授权码一次性使用且短时有效的安全设计，以及访问令牌与刷新令牌的存储和更新策略。对于移动端场景，作者还对比了令牌在客户端存储的不同方案（如 Keychain 与本地存储）的安全性差异。通过流程图和关键代码片段的剖析，文章揭示了微博如何平衡开放性与安全性，为开发者规避常见踩坑点提供了清晰的路线图。
这篇文章解析了OAuth 1.0a与1.0的核心差异与改进动机。作者从OAuth 1.0在实际部署中暴露的安全风险出发，指出其最大缺陷在于未对回调URL进行严格验证，这使得攻击者可以发起CSRF攻击，窃取用户授权令牌。OAuth 1.0a的关键改进正是针对这一漏洞，强制要求在请求中包含一个由客户端生成的临时验证码（oauth_verifier），并在用户授权后由服务端校验，从而确保回调请求的真实性。文章不仅解释了这一安全机制的技术原理，还对比了1.0与1.0a在签名计算、流程复杂度上的不同。对于开发者而言，理解这个演变至关重要——它直接关系到应用授权过程是否可靠。文章最后也明确指出，在当今的安全环境下，任何新系统都不应再采用原始的1.0协议，升级到1.0a或更新的标准（如OAuth 2.0）是保障用户安全的必要步骤。
