OAuth2.0的密码认证模式是否已被淘汰，是否应弃用？

本文共计1111个文字，预计阅读时间需要5分钟。

最近有同学询问，为什么Spring Security中没有实现OAuth2密码模式，而新的Spring Authorization Server也没有这个功能。其实，OAuth2密码模式已经过时了，OAuth2安全指南中也没有提到它。

最近一直有同学在问，OAuth2密码模式为啥Spring Security还没有实现，就连新的Spring Authorization Server也没有这个玩意儿。

其实这里可以告诉大家，OAuth2密码模式废了，OAuth2 安全指南相关的章节。以后新的OAuth2实现基本不太会可能积极去适配这个模式了。诸如Auth0、JIRA等知名产品都已经在产品中移除了该模式。用的好好的为什么要移除呢？胖哥找了一些资料，大致上有几点。

OAuth2是一个授权框架

OAuth2本身是一个授权框架，它并没有对用户的认证流程做出定义。它的初衷是解决不同服务之间的授权访问问题，它无法明确你认为正确的接收者就是那个接收者。目前只有OAuth2的扩展协议OIDC 1.0才具有用户认证功能。

密码模式更像一种兼容性的协议

密码模式诞生的时候，像React、Vue这种单页应用还没有兴起，甚至连框架都还没有呢。它更像一种为了解决遗留问题而采用的过渡方案。在传统应用中，用户习惯了把密码直接交给客户端换取资源访问权限，而不是跳来跳去拉授权、确认授权。OAuth2诞生之时为了让用户从传统思维中慢慢转变过来就设计了这种模式。

这种模式好用，但它打破了委托授权的模式，降低了OAuth2的安全性。