openid與oauth協(xié)議詳解(編輯修改稿)
2025-07-04 07:27 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 來標(biāo)志用戶，不過因?yàn)椴煌?OP 提供的 URL不禁相同，用戶可能會(huì)需要記住眾多的 OpenID 的標(biāo)志，并且為了防止 URI里直接出現(xiàn)相關(guān)帳號(hào)信息，很多 OP 提供的 URI 都是一些無意義的 url，比如說 ，這對(duì)于用戶來說是難以記憶的，因此在實(shí)際中，一些 RP 并不會(huì)讓用戶直接輸入U(xiǎn)RI 的形式，而是使用 圖標(biāo)的方式，引導(dǎo)用戶直接到 OP 的登錄網(wǎng)站進(jìn)行 OpenID 的登錄。對(duì)于最初出現(xiàn)此 OpenID 協(xié)議的初衷是希望用戶在一個(gè)地方登錄好之后，用一個(gè)帳號(hào)就能在其他網(wǎng)站上直接登錄，無法再次注冊(cè)，不過現(xiàn)在每個(gè)OpenID 的標(biāo)志只能在指定的 OP 方進(jìn)行論證，無法實(shí)現(xiàn) OpenID 在任何 OP都能驗(yàn)證，使用 OpenID 的 URI 并沒有解決以上的問題? 用戶在 OP 方進(jìn)行用戶認(rèn)證，無需在 RP 方進(jìn)行OpenID 最大的一個(gè)特點(diǎn)就是最終用戶無需提供用戶名和密碼給 RP，而直接在 OP 方進(jìn)行身份驗(yàn)證，這樣會(huì)避免 RP 得到最終用戶在 OP 方的敏感信息（帳號(hào)和密碼）? 三方論證/授權(quán)整個(gè) OpenID 體系，有三個(gè)主要角色，最終用戶、RP、OP，在整個(gè)OpenID 過程中，三方進(jìn)行不同的論證 /授權(quán)的方式，最終用戶和 OP 之間使用用戶名/密碼進(jìn)行驗(yàn)證，RP 與 OP 之間使用共享密鑰的方式實(shí)現(xiàn)身份確認(rèn)，最終用戶與 RP 的關(guān)系通過最終用戶在 OP 方對(duì) RP 進(jìn)行授權(quán)實(shí)現(xiàn)? 用戶信息通過 url 的參數(shù)進(jìn)行傳遞整個(gè) OpenID 的過程使用的是 url 進(jìn)行各類參數(shù)的傳遞，包括敏感的用戶信息，見下圖。這些信息在互聯(lián)網(wǎng)上進(jìn)行傳遞，不是非常的安全? 通過頁(yè)面跳轉(zhuǎn)實(shí)現(xiàn)OpenID 和 OAuth 協(xié)議詳解 8OpenID 的實(shí)現(xiàn)是通過頁(yè)面跳轉(zhuǎn)實(shí)現(xiàn)的，并且在登錄過程中，會(huì)涉及到眾多的頁(yè)面跳轉(zhuǎn)，如果網(wǎng)絡(luò)條件不好的話，會(huì)影響一定的用戶體驗(yàn)? RP 分享 OP 的用戶信息OpenID 的一個(gè)重要的實(shí)現(xiàn)就是用戶信息的共享，因此只有用戶信息共享了，RP 才能不讓用戶在 RP 方再次進(jìn)行身份驗(yàn)證，從而直接使用戶成為登錄的狀態(tài) OpenID 安全性在 OpenID 協(xié)議的實(shí)現(xiàn)中，可能會(huì)有一定的安全風(fēng)險(xiǎn)。OpenID 和 OAuth 協(xié)議詳解 9在 OpenID 的體系中，可能會(huì)出現(xiàn)不懷好意的 RP 出現(xiàn)，這些 RP 在用戶進(jìn)行身份驗(yàn)證的時(shí)候，將最終用戶引導(dǎo)至偽 OP 網(wǎng)站，然后誘使用戶在偽 OP 方進(jìn)行身份驗(yàn)證，從而獲得用戶在 OP 的帳號(hào)信息，并且偽 OP 拿到用戶在 OP 的登錄憑證后對(duì)真正的 OP 進(jìn)行身份驗(yàn)證，形成釣魚和中間人攻擊。至今還沒有一個(gè)非常好的手段能阻止此類事件發(fā)生，因此 OP 對(duì) RP 的選擇，就至關(guān)重要。OpenID 和 OAuth 協(xié)議詳解 10OAuth 協(xié)議 OAuth 簡(jiǎn)介OAuth 協(xié)議最初的出現(xiàn)是為了解決不同網(wǎng)站和其他互聯(lián)網(wǎng)服務(wù)商訪問受保護(hù)的資源這個(gè)普遍性問題而設(shè)計(jì)的。最初的 OAuth ，最終稿定于2022年6月。在傳統(tǒng)的客戶端/服務(wù)器身份驗(yàn)證模型，客戶端使用憑證（用戶名 /密碼）來訪問服務(wù)器的資源（用戶名以及相應(yīng)的用戶信息） 。隨著分布式 Web 服務(wù)以及云計(jì)算的大量使用，第三方應(yīng)用日益出現(xiàn)需要有訪問這些服務(wù)器資源的需求。為了解決傳統(tǒng)的客戶端/服務(wù)器身份驗(yàn)證模型中訪問資源的問題， OAuth 引入了第三方角色。在 OAuth 模型中，客戶端（不是指資源的擁有者，而是代表資源擁有者）向資源擁有者提出資源的請(qǐng)求，不過這個(gè)資源位于服務(wù)器端。另外，OAuth 允許服務(wù)器不僅僅需要進(jìn)行資源擁有者的身份驗(yàn)證還需要驗(yàn)證客戶端請(qǐng)求的身份。OAuth 提供了一種客戶端代表資源擁有者（例如其他客戶端或終端用戶）訪問服務(wù)器資源的方法。它通過用戶代理（一般指游覽器）的重定向也提供了一種最終用戶在第三方訪問最終用戶的服務(wù)器資源而不需要共享他們的身份憑證（例如：用戶名和密碼）的過程。舉例說明：一個(gè) web 用戶（資源擁有者）需要一個(gè)打印網(wǎng)站（客戶端）允許訪問她在服務(wù)器上的私有圖片，但是她不想在打印網(wǎng)站共享她在服務(wù)器上的用戶名和密碼，她希望她只要在服務(wù)器方進(jìn)行身份驗(yàn)證之后，打印網(wǎng)站能自動(dòng)獲取她在服務(wù)器上的圖片，打印出來，并且這個(gè)過程希望是安全的。OpenID 和 OAuth 協(xié)議詳解 11 OAuth 術(shù)語客戶端（client）主要是指能夠像服務(wù)器發(fā)出請(qǐng)求身份驗(yàn)證的HTTP實(shí)體，一般是一個(gè)Web網(wǎng)站或者是一個(gè)Web應(yīng)用服務(wù)器端（server）主要是指能過處理OAuth身份驗(yàn)證的網(wǎng)站，一般在服務(wù)器上有用戶存儲(chǔ)在上面的各類受保護(hù)的資源受保護(hù)的資源（protected resource）主要是指從服務(wù)器上可以獲得，但是是訪問是受限制的資源，一般是用戶私有的一些用戶信息（比如說帳號(hào)名，好友列表，金額等）資源擁有者/用戶（resource owner）主要是指擁有能訪問并且控制受保護(hù)資源的人，Ta能使用信任憑證（通常是用戶名/密碼）和服務(wù)器進(jìn)行身份驗(yàn)證信任憑證（credentials）信任憑證是指一對(duì)獨(dú)一無二的標(biāo)志，的信任憑證，客戶端、臨時(shí)令牌、令牌，相對(duì)應(yīng)以上三種信任憑證，主要用戶驗(yàn)證客戶端請(qǐng)求、身份驗(yàn)證請(qǐng)求和允許訪問資源的請(qǐng)求令牌（token）它是指一個(gè)獨(dú)一無二的標(biāo)志，主要是服務(wù)器簽發(fā)的，并且在客戶端使用的。它是資源擁有者（用戶） 、客戶端和服務(wù)器的一種聯(lián)系的表達(dá)。令牌是一對(duì)匹配的共享密鑰，客戶端使用它和服務(wù)器端進(jìn)行交互。OpenID 和 OAuth 協(xié)議詳解 12 OAuth 身份驗(yàn)證和授權(quán)流程使用 OAuth進(jìn)行認(rèn)證和授權(quán)的過程如
范文總結(jié)相關(guān)推薦
鄂ICP備17016276號(hào)-1