oauth - OAuth(开放授权)到底是什么？

Question

OAuth(开放授权)到底是什么？

我从

收集了一些信息

• OAuth
• Twitter Tutorial: What is OAuth And What It Means To You
• What is OAuth

但我想学习并了解更多。我正在寻找有关生命周期的信息。为什么大多数社交网络都依赖这种开放协议(protocol)？

它会在不久的将来成为各种技术(例如 ASP.NET)的事实吗？

Answer 1

What exactly is OAuth (Open Authorization)?

OAuth 允许通知资源提供商(例如 Facebook)资源所有者(例如您)向第三方授予权限(例如 Facebook 应用程序)访问他们的信息(例如您的 friend 列表)。

如果您清楚地阅读它，我会理解您的困惑。那么让我们举一个具体的例子:加入另一个社交网络!

假设您有一个现有的 Gmail 帐户。您决定加入 LinkedIn。手动添加所有很多很多 friend 既麻烦又容易出错。您可能会中途感到厌倦，或者在邀请的电子邮件地址中插入拼写错误。因此，您可能最终不想创建帐户。

面对这种情况，LinkedIn™ 有一个好主意，那就是编写一个程序来自动添加您的 friend 列表，因为计算机在处理繁琐且容易出错的任务时效率更高、效果更好。既然加入网络现在如此简单，您不可能会拒绝这样的提议，不是吗？

如果没有用于交换此联系人列表的 API，您就必须向 LinkedIn 提供 Gmail 帐户的用户名和密码，从而赋予他们太多权力。

这就是 OAuth 的用武之地。如果您的 GMail 支持 OAuth 协议(protocol)，那么 LinkedIn 可以要求您授权他们访问您的 Gmail 联系人列表。

OAuth 允许:

1. 不同的访问级别:只读 VS 读写。这样您就可以授予对用户列表的访问权限或双向访问权限，以自动将您的新 LinkedIn 好友同步到您的 Gmail 联系人。
2. 访问粒度:您可以决定仅授予您的联系信息(用户名、电子邮件、出生日期等)或您的整个好友列表、日历等信息的访问权限。
3. 它允许您管理来自资源提供者应用程序的访问。如果第三方应用程序不提供取消访问的机制，您将无法让他们访问您的信息。通过 OAuth，可以随时撤销访问权限。

Will it become a de facto (standard?) in near future?

虽然 OAuth 是向前迈出的重要一步，但如果人们不正确使用它，它并不能解决问题。例如，如果资源提供者一次只为所有资源提供单一读写访问级别，并且不提供管理访问的机制，那么它就没有意义。换句话说，OAuth 是一个提供授权功能而不仅仅是身份验证的框架。

在实践中，它非常适合社交网络模型。对于那些想要允许第三方“插件”的社交网络来说，它尤其受欢迎。在这个领域，访问资源本质上是必要的，但本质上也是不可靠的(即，您对这些应用程序几乎没有质量控制)。

我还没有在野外看到这么多其他用途。我的意思是，我不知道有哪家在线财务咨询公司会自动访问您的银行记录，尽管技术上可以这样使用。