OAuth

OAuth 2.0 是授权框架，使第三方应用在用户授权下访问其资源，无需共享密码，通过令牌实现。

用途

实现委托授权，使应用能访问用户在其他服务的资源而不获取密码。

机制

流程：客户端向授权服务器请求授权 → 用户授权 → 客户端获授权码 → 换取 access_token → 用 token 访问资源服务器。授权类型：authorization_code、implicit、password、client_credentials、refresh_token。

用例

第三方登录（用 Google 登录）
API 授权访问
SSO 跨服务
移动端授权

示例

输入

authorization code → access_token

输出

Call the API with the token

The authorization code flow

常见错误

The implicit flow exposes the token to the browser: Use authorization_code with PKCE

相关词条

OpenID Connect（OIDC）是 OAuth 2.0 之上的身份层，提供用户认证与身份信息，是 SSO 的事实标准。

JWT（JSON Web Token）是紧凑的自包含令牌，用 JSON 对象安全传输声明，常用于无状态认证与信息交换。

Bearer Token 是持有即可使用的令牌类型，放在 Authorization: Bearer <token> 头，谁拥有谁可用，无需额外凭据。

Cookie 是服务器发送、浏览器存储的键值对，随同源请求自动发送，用于会话与状态管理。

相关工具

OAuth Token 解析器

Oauth Token Parser — 纯客户端工具。隐私优先，无服务器往返。

参考链接