從密碼到token，一個(gè)授權(quán)的故事

作者：劉欣 2017-07-05 15:09:52

本文講的其實(shí)就是就是OAuth 中的三種認(rèn)證方式，依次是：1. Resource Owner Password Credentials Grant(資源所有者密碼憑據(jù)許可)2. Implicit Grant(隱式許可)3. Authorization Code Grant(授權(quán)碼許可)

[[195847]]

1. 我把密碼獻(xiàn)給你

小梁開(kāi)發(fā)了一個(gè)“信用卡管家”的程序，可以自動(dòng)從郵箱中讀取信用卡相關(guān)郵件，分析、匯總，形成一個(gè)報(bào)表。

小梁找到信用卡達(dá)人張大胖試用： “你的信用卡那么多，看看我這個(gè)程序吧，保準(zhǔn)你會(huì)愛(ài)死它。”

張大胖嘗試了幾下說(shuō)： “咦，你這個(gè)程序要讀取我的網(wǎng)易郵箱啊，那需要用戶(hù)名/密碼吧”

“是啊，你把密碼告訴輸入程序不就行了，我的程序替你加密保存，保證不會(huì)泄露。”

“得了吧你，我可不會(huì)告訴你我的密碼，為了方便記憶，我的密碼都是通用的，萬(wàn)一泄露了就完蛋了”

小梁說(shuō)：“這樣吧，我不保存，我就訪(fǎng)問(wèn)郵箱的時(shí)候使用一次，用完就扔!”

“你以為你是阿里巴巴啊，有信用背書(shū)，你只是個(gè)小網(wǎng)站，我把密碼獻(xiàn)給你，總是覺(jué)得不安全。就是我信任你，別人能信任你嗎?”

小梁想想也是，這是一個(gè)巨大的心理障礙，每個(gè)人都要誓死捍衛(wèi)自己的密碼啊。

2. Token

過(guò)了一周，小梁興致勃勃地把張大胖拉來(lái)看“信用卡管家”的升級(jí)版。

“升級(jí)為2.0了啊，這次不用問(wèn)你要網(wǎng)易郵箱的用戶(hù)名和密碼了”

“那你怎么訪(fǎng)問(wèn)我的郵箱?”

“很簡(jiǎn)單，我提供了一個(gè)新的入口，使用網(wǎng)易賬號(hào)登錄，你點(diǎn)了以后，其實(shí)就會(huì)重定向到網(wǎng)易的認(rèn)證系統(tǒng)去登錄，網(wǎng)易的認(rèn)證系統(tǒng)會(huì)讓你輸入用戶(hù)名和密碼，并且詢(xún)問(wèn)你是否允許信用卡管家訪(fǎng)問(wèn)網(wǎng)易郵箱，你確認(rèn)了以后，就再次重定向到我的‘信用卡管家’網(wǎng)站，同時(shí)捎帶一個(gè)‘token’ 過(guò)來(lái)，我用這個(gè)token 就可以通過(guò)API來(lái)訪(fǎng)問(wèn)網(wǎng)易郵箱了。在這個(gè)過(guò)程中，我根本不會(huì)接觸到你的用戶(hù)名和密碼，怎么樣，這下滿(mǎn)意了吧?”

“你說(shuō)得輕松，你這個(gè)信用卡管家是個(gè)小網(wǎng)站，還沒(méi)有什么名氣，網(wǎng)易怎么會(huì)相信你這個(gè)網(wǎng)站呢?”

“我當(dāng)然要先在網(wǎng)易注冊(cè)一下啊，他們會(huì)給我發(fā)個(gè)app_id 和app_secret，我重定向到網(wǎng)易的時(shí)候需要把這個(gè)東西發(fā)過(guò)去，這樣網(wǎng)易就知道是‘信用卡管家’這個(gè)應(yīng)用在申請(qǐng)授權(quán)了。”

張大胖說(shuō)： “ 你這重定向來(lái)重定向去的，實(shí)際上不就是為了拿到一個(gè)token 嗎?”

“對(duì)啊，因?yàn)槟悴恍湃挝业男庞每ü芗遥?不讓它保存你的密碼，只好用token的方法了 , 它是網(wǎng)易認(rèn)證中心頒發(fā)的，實(shí)際上就代表了你對(duì)信用卡管家訪(fǎng)問(wèn)郵箱的授權(quán)，所以有了這個(gè)token 就可以訪(fǎng)問(wèn)你的郵箱了”

"對(duì)了" 張大胖問(wèn)題， “你為什么用Javascript的方式來(lái)讀取token啊”

“這樣我的后端服務(wù)器就不用參與了，工作都在前端搞定，你注意到那個(gè)URL中的#號(hào)了嗎? www.a.com/callback#token=<網(wǎng)易返回的token>”

張大胖說(shuō)： “我知道啊，這個(gè)東西叫做hash fragment, 只會(huì)停留在瀏覽器端，只有Javascript 能訪(fǎng)問(wèn)它，并且它不會(huì)再次通過(guò)http request 發(fā)到別的服務(wù)器器，我想這是為了提高安全性吧。”

小梁說(shuō)： “沒(méi)錯(cuò)，那個(gè)token非常非常重要，得妥善保存，不能泄露!”

“可是在第6步通過(guò)重定向，這個(gè)token 以明文的方式發(fā)送給了我的瀏覽器，雖然是https ，不會(huì)被別人竊取，可是瀏覽器的歷史記錄或者訪(fǎng)問(wèn)日志中就能找到，豈不暴露了?”

小梁說(shuō)： “這個(gè).... ，我說(shuō)你這個(gè)家伙，安全意識(shí)很強(qiáng)烈嘛，讓我想想，有沒(méi)有更安全的方式。"

3. Authorization Code + Token

又過(guò)了一周，小梁成功地把信用卡管家升級(jí)為3.0.

他對(duì)張大胖說(shuō)： “這次我成功地把那個(gè)非常重要的、表示授權(quán)的token 給隱藏起來(lái)了，你要不要看看?”

“你先說(shuō)說(shuō)你是怎么隱藏的?”

“其實(shí)整體思路和之前的類(lèi)似，只是我引入了一個(gè)叫做Authorization Code 的中間層。當(dāng)你用網(wǎng)易賬號(hào)登錄的時(shí)候，網(wǎng)易認(rèn)證中心這一次不給我直接發(fā)token,而是發(fā)一個(gè)授權(quán)碼(authorization code) , 我的信用卡管家服務(wù)器端取到這個(gè)code以后，在后臺(tái)再次訪(fǎng)問(wèn)網(wǎng)易認(rèn)證中心，這一次他才發(fā)給我真正的token 。還是直接上圖吧：”

張大胖說(shuō)： “還比較容易理解，本質(zhì)上就是你拿著這個(gè)返回的授權(quán)碼在服務(wù)器后臺(tái)‘偷偷地’完成申請(qǐng)token 的過(guò)程，所以token 瀏覽器端根本就接觸不到，對(duì)吧?”

“什么叫偷偷地申請(qǐng)token ? 這是我信用卡管家服務(wù)器和網(wǎng)易之間的正常交流，只是你看不到而已。”

“開(kāi)個(gè)玩笑了，你雖然隱藏了token,但是這個(gè)授權(quán)碼確是暴露了啊，你看第7步，我在瀏覽器中都能明文看到，要是被誰(shuí)取到，不也是照樣能取到token嗎?”

小梁說(shuō)： “我們肯定有防御措施，比如這個(gè)授權(quán)碼和我的信用卡管家申請(qǐng)的app_id，app_secret關(guān)聯(lián)，只有信用卡管家發(fā)出的token請(qǐng)求，網(wǎng)易認(rèn)證中心才認(rèn)為合法; 還可以讓授權(quán)碼有時(shí)間限制，比如5分鐘失效，還有可以讓授權(quán)碼只能換一次token, 第二次就不行了。 ”

“聽(tīng)起來(lái)似乎不錯(cuò)，好吧，這次我可以放心地使用了!”

4. 后記

本文講的其實(shí)就是就是OAuth 中的三種認(rèn)證方式，依次是：

1. Resource Owner Password Credentials Grant(資源所有者密碼憑據(jù)許可)

2. Implicit Grant(隱式許可)

3. Authorization Code Grant(授權(quán)碼許可)

還有一種叫做Client credentials ,用的較少，文章沒(méi)有涉及。