我要投搞

标签云

收藏小站

爱尚经典语录、名言、句子、散文、日志、唯美图片

当前位置:六合特肖 > 访问令牌 >

OAuth20基本介绍pptx

归档日期:08-17       文本归类:访问令牌      文章编辑:爱尚语录

  登录成功,如需使用密码登录,请先进入【个人中心】-【账号管理】-【设置密码】完成设置

  *若权利人发现爱问平台上用户上传内容侵犯了其作品的信息网络传播权等合法权益时,请按照平台侵权处理要求书面通知爱问!

  爱问共享资料市场营销频道提供OAuth20基本介绍.pptx文档免费下载,数万用户每天上传大量最新资料,数量累计超一个亿!

  OAUTH介绍前言互联开放功能开放数据资源开放计算能力开放商业技能开放前言首要问题ndash信息安全前言首要问题ndash资源安全第三方应用需要访问受控资源安全问题第三方应用需要为以后的访问保存用户授信通常是密码明文服务器需要支持密码验证尽管密码方式天生安全性不够授信后第三方应用可以访问所有资源无法进一步控制范围资源拥有者无法对某个应用取消授权如果不想再授信只能改密码开发问题开发者需要为每个服务器开发登录接口前言解决方案ndash授权代理前言解决方案ndash授权代理安全和灵活登录和授权在授权服务器进行第三方应用只持有访问令牌(AccessToken)无用户名和密码信息资源拥有者参与授权过程资源拥有者有机会撤销授权对第三方应用本身安全授信简单OAUTH服务提供者还是应用开发者都很容易于理解与使用开放统一任何服务提供商都可以实现OAUTH任何软件开发商都可以使用OAUTHOAUTH认证授权流程介绍认证授权流程方式授权码授权(服务端WEB应用流程)隐式授权(客户端WEB应用流程)用户密码凭证(资源拥有者密码凭证流程)客户端凭证(应用凭证流程)认证授权流程基本概念资源拥有者用户(ResourceOwner)受保护的数据(如个人信息)或者服务的拥有人一般是具体的用户资源服务器(ResourceServer)提供资源的服务器如保存了个人照片的服务器资源服务器通过服务接入提供对保护资源的访问客户端第三方应用(ClientrdApp)拿资源拥有者的凭证去访问保护资源并再加个为资源拥有者提供更多的服务授权服务器用来认证授权并向第三方应用发放令牌的服务器资源拥有者、第三方应用、资源服务器之间的授权代理授权码授权(WEB服务器授权流程)授权码授权WEB服务器授权流程授权码授权(WEB服务器授权流程)授权流程用户在授权服务器认证和对应用授权发放授权码(AuthorizationCode)交换访问令牌(AccessToken)访问服务a刷新访问令牌授权码授权(WEB服务器授权流程)步骤:认证和授权第三放应用发现没有授权时将用户转发到授权服务器的授权入口redirect:http:oauthauthorizeresponsetype=codeclientid=managecenterredirecturi=httpAFFlocalhostAFmanageFredirecthtmstate=参数:授权EndPoint:http:oauthauthorizeresponsetype:授权类型这个地方用授权码codeclientid:第三方应用的注册ID第三方应用本身也是需要注册的服务器会为他发行一个ID和密钥redirecturi:回调URL等授权完成后会调用该接口state:一个不容易被猜出的数字用于防止跨域伪造攻击授权码授权(WEB服务器授权流程)步骤:认证和授权第三放应用发现没有授权时将用户转发到授权服务器的授权入口用户在授权服务器登录登录不是每次出现如果当前浏览器已经登录过则无需登录授权码授权(WEB服务器授权流程)步骤:认证和授权第三放应用发现没有授权时将用户转发到授权服务器的授权入口用户在授权服务器登录用于对应用申请的访问授权用户有机会参与到授权过程自己决定是否统一对应用授信如果用户拒绝不会回到第三方应用授权码授权(WEB服务器授权流程)步骤:发行授权码授权通过后授权服务器生成授权码并发送到回调接口返回URL提供参数code回调接口解析并取得授权码授权码授权(WEB服务器授权流程)步骤:交换访问令牌发送请求到访问令牌EndPoint(http:oauthtoken)返回JSON格式的令牌信息授权码授权(WEB服务器授权流程)步骤:交换访问令牌请求参数:安全请求Header:其中包括了:应用ID:在授权服务器上登记应用获得的ID应用密钥Secret:在授权服务器上注册后发给的密钥代码:granttype:授权类型,值=authorizationcodecode:授权码前一步交互得到的临时授权码一次有效redirecturi:回调URI令牌发行成功后回调的URI必须是授权码申请的那个授权码授权(WEB服务器授权流程)步骤:交换访问令牌应答格式:accesstoken:发行的访问令牌下次访问保护资源的时候要带上tokentype:令牌类型用于扩充自定义令牌机制默认是不记名令牌expiresin:过期时间(有效期)单位秒访问令牌一般时间都比较短为了减少攻击者在攻破第三方应用后可能的风险refreshtoken:刷新令牌如果开启了刷新令牌功能会同时发放刷新令牌这样在访问令牌过期前可以拿刷新令牌去换新的访问令牌Tips:交换访问令牌是不走浏览器的减少了恶意插件带来的风险授权码授权(WEB服务器授权流程)步骤:访问保护资源在所有访问保护URL请求头上增加访问令牌信息:Tips:资源服务器在收到服务请求时会与授权服务器交互验证该令牌有效性如果令牌无效会返回xx异常为提高执行效率资源服务器一般会提供带时效的缓存来保存访问令牌但是这样的负面作用是用户撤销授权后还会有一段时间服务依然会通过授权码授权(WEB服务器授权流程)步骤a:刷新访问令牌如果应用授权使用刷新令牌在获取访问令牌的时候会同时发放刷新令牌第三方应用在自己的数据库保存刷新令牌在访问令牌过期前调用令牌EndPoint获取新的访问令牌和刷新令牌Tips:启用刷新令牌相当于用户在第三方应用长期登录第三方应用可以在任何时候以资源拥有者的授权凭证进行资源访问授权码授权(WEB服务器授权流程)适用场景第三方应用是Web服务器需要长时间访问资源API比较重要避免访问令牌经过浏览器减少泄漏可能Tips:启用刷新令牌相当于用户在第三方应用长期登录第三方应用可以在任何时候以资源拥有者的授权凭证进行资源访问插播:恒生办公开放平台(预研版)恒生办公开放平台(预研)目的全员参与共建自动化办公提升工作效率挖掘公司信息资产提升资产利用程度打通各子系统孤岛提供整体办公方案为恒生金融云运营积累技术经验恒生办公开放平台(预研)功能授权服务器恒生域认证授权授权码授权隐式授权客户端授权恒生办公开放平台(预研)功能授权服务器资源服务通讯录服务股票资讯恒生之家客房预定(测试)恒生办公开放平台(预研)功能授权服务器资源服务管理控制台注册开发者管理对应用的授权注册和审批应用隐式授权授权客户端WEB应用授权流程隐式授权(客户端应用授权)适用场景只是需要临时访问保护资源第三方应用(客户端)运行在浏览器上(JavaScript,Flashhellip)第三方应用和浏览器是高可信的例子:照片查看应用需要访问他的联系方式照片查看应用提示用户需要授权用户确认后到授权服务器授权通过后直接回到照片应用认证授权步骤提示用户需要授权同意后到授权服务器授权从URL解析访问令牌访问保护资源隐式授权(客户端应用授权)步骤:提示用户需要授权并转发到授权服务器一般需要先提示用户后续操作需要授权重定向到授权EndPoint隐式授权(客户端应用授权)步骤:解析访问令牌授权通过后授权服务器会将令牌信息附加到回调URL上返回步骤:访问保护资源将访问令牌附加到请求URL的安全头Header或者参数(如果不支持Header)隐式授权(客户端应用授权)与授权码方式区别不使用二次交换直接发放访问令牌访问令牌在浏览器传输安全性较低未安全考虑不提供刷新令牌密码凭证授权资源拥有者密码凭证授权流程密码凭证授权资源拥有者密码凭证授权流程密码凭证授权第三方应用直接拿用户ID和密码交换访问令牌和刷新令牌步骤要求用户提供ID和密码用密码凭证到授权服务器换取访问令牌访问授权服务刷新访问令牌密码凭证授权步骤:提示用户输入ID和密码步骤:用密码凭证到授权服务器换取访问令牌访问授权服务刷新访问令牌密码凭证授权适用场景仅限官方应用刷新令牌要慎用等同于在第三方应用保存了一份ID和密码一般辅助以更高安全保护如SSL数字证书、U盾等客户端凭证授权对第三方应用凭证授权流程客户端凭证授权解决问题非具体用户的资源或者无需资源拥有者授权或其他流程已经保证资源授权流程步骤使用客户端ID和密钥交换访问令牌访问授权服务使用场景第三方应用自己的资源内部应用如本身是资源服务器其他流程已经保障了资源安全性和授权Thankyou!

  数字信号处理(第三版)课后答案及学习指导(高西全_丁玉美)第二章.ppt.ppt

  商务谈判能帮助企业增加利润。对于一个企业来说,增加利润一般有三种方法:1、增加营业额;2、降低成本;3、谈判。不空谈,优秀的谈判者通常具有哪些特质?谈判专家告诉你,掌握好谈判策略技、谈判技巧,快速让业绩和收入翻倍。

本文链接:http://shawntierney.com/fangwenlingpai/704.html