php - 没有访问 token 的 OAuth2 客户端

Question

所以在我开始之前，我是一个 OAuth2 新手，所以我仍然试图真正了解各种权限范围和授权。

我已经成功地使用 Laravel OAuth2 Server 实现了一个 OAuth2 服务器包。

我正在处理的当前站点将使用 client_credentials 授权类型简单地从 API 进行 dogfood。我已经设法让它成功运行，并且可以使用提供的访问 token 进行 API 调用。

但是，我想知道如何实现类似于 Instagram、Soundcloud 等的架构，它们不需要基本端点的 access_token，只需要 client_id。他们怎么做到的？这是自定义授权类型吗？

最好，我只想在访问私有(private)资源时开始要求访问 token ，例如用于修改用户信息的资源等。据我所知，对于这些我需要使用 password 授权类型，这不是问题。

Answer 1

OAuth 有一些流程，例如 2-legged 或 3-legged，它基本上告诉开发人员他需要向服务器发出多少请求才能获得他想要的资源。

例如，在双足流中，您发送一个带有您的 ID 和密码的请求(第一个请求)，您会得到一个 access_token 并使用该 token ，您可以对该资源发出其他请求你想要(第二个请求)。

回到您的 Instagram 示例，您可以考虑仅使用 client_id 作为单向 OAuth 流程，因为您只向服务器发出一个请求以获取所需资源。

您可以将此类流程用于不太敏感的资源，例如个人资料照片或用户昵称。

单足流的实现很简单: - 如果 user_id 有效且应用程序不需要用户批准即可访问所请求的资源，则继续并显示该资源。

因此，实现单向流程包括检查 client_id 是否有效以及检查请求的资源是否需要用户许可。也就是说，您可以使用 1-legged 来请求用户个人资料照片，但不能使用相同的流程来请求用户的私有(private)消息。

您可以在 The OAuth Bible 中阅读有关每个 OAuth 流程的更多信息.