oauth - 既然 OAuth1.0A 工作得很好，那为什么还要 OAuth 2.0呢？

Question

最近我阅读了大量有关 OAuth(开放授权)协议(protocol)的文章。我逐渐明白了以下几点:OAuth 1.0A:它使用数字签名(减轻网络钓鱼)并建议使用 TLS/SSL(减轻中间人攻击)，并且几乎所有使用 OAuth 1.0A 的服务提供商都在使用 TLS/SSL。由于数字签名和 TLS/SSL 的实现，OAuth 1.0A 更加安全，免除了获得正确数字签名的困难。然而许多人已经实现了 OAuth 1.0A——这是一个悖论。OAuth 2.0:这是相对较新的，但与早期的(即 OAuth 1.0 (A) )完全不兼容，由于要 100% 正确地面临困难，因此不使用数字签名，而是使用 SSL/TLS 和不记名 token (即代币持有者可以做任何事情)。 OAuth 2.0 最好的一点是它区分了不同的授权流程，而 OAuth 1.0 中的授权流程全部合并在一起。不可互操作性是 OAuth 2.0 的另一个问题(我猜这会导致更多的 split ……只是我的猜测)。

从我目前所了解到的情况来看，我发现 OAuth 1.0A 在很多方面都比 OAuth 2.0 更好。现在谁能解释一下为什么 OAuth 1.0A 更好(更好是因为它更安全)而鼓励 OAuth 2.0。

谢谢。

Answer 1

你最后的陈述有一件有趣的事情。 “更好是因为它更安全”

这正是 OAuth 问题。他们使它变得如此复杂和安全，以至于许多人/应用程序无法直接使用它。 OAuth 2.0 并不那么安全，但它的设计目的是易于处理。