0 目录

认证授权系列：http://www.cnblogs.com/linianhui/category/929878.html

1 RFC6749还有哪些可以完善的？

1.1 撤销Token

在上篇[认证授权] 1.OAuth2授权 中介绍到了OAuth2可以帮我们解决第三方Client访问受保护资源的问题，但是只提供了如何获得access_token，并未说明怎么来撤销一个access_token。关于这部分OAuth2单独定义了一个RFC7009 - OAuth 2.0 Token Revocation来解决撤销Token问题。

1.2 Token对Client的不透明问题

OAuth2提供的“access_token"是一个对Client不透明的字符串，尽管有"scope"，"expires_in"和"refresh_token"来辅助，但也是不完善的且分散的信息。还拿上一篇的小明来举例，“小明授权在线打印并且包邮的网站访问自己的QQ空间的相册”。双引号里面的这句话其中有4个重要的概念：

  1. 授权者小明：表示是小明授权，而不是隔壁老王。

  2. 被授权者在线打印并且包邮的网站：表示授权给指定的网站，而不是其他的比如1024.com之类的网站（你懂的。。。）。

  3. 小明自己的QQ空间：表示让被授权者访问自己的信息，而不是隔壁老王的信息，小明也没这权限来着，不然隔壁王婶夜不答应吧。。。

  4. 相册：表示你可以访问我的相册，而不是我的日志，我的其他信息。

那么如何得到获得上面提到的这些附加的信息呢？OAuth2又单独提供了一个RFC7662 -OAuth 2.0 Token Introspection来解决Token的描述信息不完整的问题。

网友评论