如何深入理解OAuth2.0协议及其授权流程？

本文共计3851个文字，预计阅读时间需要16分钟。

无论自然资源还是网络资源，均需控制使用权与被使用权，保障资源安全、合规使用及有效管控。项目中，需控制的是用户资源，确保用户合理使用。

无论是自然资源还是互联网上的资源，需要控制使用权与被使用权，以保护资源的安全、合理的使用和有效的管控。

项目中，我们需要控制的是用户资源，既要保证有效用户的合理使用，又要防范非法用户的攻击。如此，如何区分有效和非法就是我们需要考虑的问题，简单点，通过账号密码来区分，能够通过检测的便是有效用户。

可当项目越来越复杂，用户还想使用第三方应用，那么不能将账号密码交给第三方吧，同时，尽管通过账号密码检测了是有效用户，那么是否就能够访问资源、使用资源呢，这也未必。

种种因素下，OAuth(Open Authorization)作为一个安全、开放且简易的标准，方便我们在项目中协调资源、控制授权，以在用户、第三方应用和用户资源三者间形成一个有效的控制机制，而无需将用户的账号密码提供给第三方应用，且还能控制第三方应用对资源的访问与使用。

Anopen protocolto allowsecure authorizationin asimpleandstandardmethod from web, mobile and desktop applications.

认证与授权

对于第三方应用想要访问被保护的资源，应当是使用授权访问，而这前提是要经过认证环节，毕竟认证成功，但不代表就有权限访问资源。OAuth更多的是侧重于如何实现授权来控制第三方应用能够访问资源。