OAuth Explained
a year ago
- #Security
- #OAuth
- #Authorization
- OAuth的设计初衷是解决授权问题，而非身份验证问题。
- OAuth允许LinkedIn无需用户提供谷歌密码即可导入谷歌联系人。
- 该流程会将用户重定向至谷歌OAuth授权页面进行访问权限审批。
- 谷歌向LinkedIn提供一次性代码，该代码可兑换为访问令牌。
- LinkedIn通过访问令牌调用谷歌API获取用户联系人数据。
- client_id和client_secret用于验证LinkedIn的身份合法性。
- OAuth 2.0依赖HTTPS保障安全，并使用Bearer令牌替代签名请求。
- state参数是防御CSRF攻击的关键机制。
- Node.js示例展示了如何处理谷歌OAuth 2.0登录并将用户数据存储至SQLite。