OAuth是一个关于授权（Authorization）的开放网络标准，在全世界得到广泛应用，目前版本是2.0。为了理解OAuth,比如有个云印通的网站，可以将用户存储在谷歌的照片冲印出来。用户为了使用该服务，必须让"云印通"读取自己存储在Google上的照片。

       问题是只有得到用户的授权，Google才会同意“云印通”读取这些照片。那么，云印通怎么获取用户的授权了？

       OAuth就是为了解决上面的问题诞生的

       名词定义：

       1.third-party-application   第三方应用程序，本文又称为“客户端” client。

       2.HTTP Service  http服务提供商，即例子中的Google.        

       3.Resource Owner:资源所有者，本文中又称为“用户"(user).

       4.User Agent 用户代理，本文就是指浏览器。

       5.Authorization server :认证服务器，即服务提供商用来处理认证的服务器。

       6.Resource server:资源服务器，即服务提供商用来存放资源的服务器。他也可以与认证服务器是同一台服务器。 

       OAuth的思路

       OAuth在客户端与服务提供商之间，设置了一个授权层（authorization layer）。客户端不能直接登陆“服务提供商”，只能登陆授权层，以此将用户与客户端区分出来。“客户端”登陆授权层所用的令牌(token),与用户的密码不同。用户可以在登陆的时候指定授权层令牌的权限范围与有效期。

        客户端登陆授权层以后，“服务提供商”根据令牌的权限范围以及有效期，向“客户端”开放存储的资料。

          流程如下：

         1.用户打开客户端以后，客户端要求用户给予授权。

         2.用户同意给予客户端授权。（有了用户授权以后，客户端就可以获得令牌）

         3.客户端使用上一步获得的授权，向认真服务器申请令牌。

         4.认证服务器对客户端进行认证以后，确认无误，同意发放令牌。

         5.客户端使用令牌，向资源服务器申请获取资源。

         6.资源服务器确认令牌无误，同意向客户端开放资源。

     客户端的授权模式

       客户端必须获得客户的授权（authorization grant),才能获取到令牌（accessToken）.OAuth2.0定义了四种授权方式。

      1.授权码模式（authorization  code）。

      2.简化模式

      3.密码模式

      4.客户端模式

      授权码模式:

       授权码模式是功能最完整、流程最严密的授权模式。他的特点是通过客户端的后台服务器与服务提供商的认证服务器进行互动。

     （A）用户访问客户端，后者将前者导向认证服务器。

     （B）用户选择是否给予客户端授权。

     （C）假设用户给予授权，认证服务器将用户导向客户端事先指定的"重定向URI"（redirection URI），同时附上一个授权码。

     （D）客户端收到授权码，附上早先的"重定向URI"，向认证服务器申请令牌(token)。这一步是在客户端的后台的服务器上完成的,对用户不可见。

     （E）认证服务器核对了授权码和重定向URI，确认无误后，向客户端发送访问令牌（access token）和更新令牌（refresh token）。

         在A步骤中，客户端身份认证的URI,包含以下参数：

         response_type:表示授权类型，必须选，此处的固定值为"code"。

         client_id:表示客户端的id,必选项

         redirect_url :表示重定向的URI,可选项

         scope:表示申请的权限范围,可选项

         state：表示客户端的当前状态，可以指定任意值。 

GET /authorize?response_type=code&client_id=s6BhdRkqt3&state=xyz
        &redirect_uri=https%3A%2F%2Fclient%2Eexample%2Ecom%2Fcb HTTP/1.1
Host: server.example.com

         C步骤中,服务器回应客户端的URI,包含以下参数:

            code:表示授权码，必选项。 有效期很短，客户端只能使用该码一次。

            state:如果客户端的请求中包含这个参数，认证服务器的回应也必须一模一样

HTTP/1.1 302 Found
Location: https://client.example.com/cb?code=SplxlOBeZQQYbYS6WxSbIA
          &state=xyz

           D步骤中，客户端向认证服务器申请令牌的HTTP请求，包含以下参数

           grant_type:表示使用的授权模式，必选项。此处的值固定为"authorization_code"。

           code:表示上一步获得的授权码，必选项。

           redirect_uri:表示重定向URI,必选项，有上面必须一致。

           client_id:表示客户端ID,必选项。

POST /token HTTP/1.1
Host: server.example.com
Authorization: Basic czZCaGRSa3F0MzpnWDFmQmF0M2JW
Content-Type: application/x-www-form-urlencoded

grant_type=authorization_code&code=SplxlOBeZQQYbYS6WxSbIA
&redirect_uri=https%3A%2F%2Fclient%2Eexample%2Ecom%2Fcb

 

              E步骤中，认证服务器发送的HTTP回复，包含以下参数。

              access_token：表示访问令牌，必选项。

              token_type：表示令牌类型，该值大小写不敏感，必选项，可以是bearer类型或mac类型。

              expires_in：表示过期时间，单位为秒。如果省略该参数，必须其他方式设置过期时间。

              refresh_token：表示更新令牌，用来获取下一次的访问令牌，可选项。

              scope：表示权限范围，如果与客户端申请的范围一致，此项可省略。         

     HTTP/1.1 200 OK
     Content-Type: application/json;charset=UTF-8
     Cache-Control: no-store
     Pragma: no-cache

     {
       "access_token":"2YotnFZFEjr1zCsicMWpAA",
       "token_type":"example",
       "expires_in":3600,
       "refresh_token":"tGzv3JOkF0XG5Qx2TlKWIA",
       "example_parameter":"example_value"
     }

         

         更新令牌:

         如果用户访问的时候，客户端的“访问令牌已经过期”，则需要使用“更新令牌”申请一个新的令牌。

         客户端发出更新令牌的HTTP请求，包含以下参数。

        granttype：表示使用的授权模式，此处的值固定为"refreshtoken"，必选项。

        refresh_token：表示早前收到的更新令牌，必选项。

        scope：表示申请的授权范围，不可以超出上一次申请的范围，如果省略该参数，则表示与上一次一致。

 POST /token HTTP/1.1
     Host: server.example.com
     Authorization: Basic czZCaGRSa3F0MzpnWDFmQmF0M2JW
     Content-Type: application/x-www-form-urlencoded

     grant_type=refresh_token&refresh_token=tGzv3JOkF0XG5Qx2TlKWIA