2. OAuth2.0核心概念：资源所有者、客户端、授权服务器、资源服务器、访问令牌、刷新令牌

OAuth2.0 协议定义了六种核心角色与构件，它们共同构成了授权交互的完整闭环。理解这些概念是进行 API 契约治理的基础——每一份契约都需要明确指定这些角色的交互边界与令牌生命周期。

2.1 六大核心概念总览

下表从契约治理视角对比各角色的职责与关键属性：

2.2 核心交互流程

下图展示了 OAuth2.0 授权码模式下六个核心概念之间的典型交互顺序：

2.3 角色详解

2.3.1 资源所有者（Resource Owner）

资源所有者是能够授予对受保护资源访问权限的实体。在大多数场景中，资源所有者就是终端用户。契约治理中需要明确资源所有者授权的方式（如用户点击确认按钮、输入密码等），以及授权范围的粒度。

• 授权方式： 授权码、隐式、密码、客户端凭证
• 契约要求： 授权页面必须展示明确的 scope 列表，且用户可撤销授权
• 安全约束： 资源所有者的凭证（如密码）不得直接传递给客户端

2.3.2 客户端（Client）

客户端是代表资源所有者发起受保护资源请求的应用程序。客户端需要在授权服务器上注册，获取唯一的 client_id 和可选的 client_secret。

2.3.3 授权服务器（Authorization Server）

授权服务器负责验证资源所有者的身份，获取授权，并向客户端颁发令牌。它是 OAuth2.0 体系中的核心信任锚点。

2.3.4 资源服务器（Resource Server）

资源服务器托管受保护资源，接收并验证访问令牌，然后响应资源请求。在微服务架构中，每个 API 网关或后端服务都可能是一个资源服务器。

• 令牌验证方式： 本地验证（JWT 签名校验）或远程验证（调用 introspection 端点）
• 契约要求： 资源服务器必须校验令牌的 scope 是否包含所需权限
• 常见错误： 仅校验令牌有效性，忽略 scope 校验，导致权限越界

2.4 令牌详解

2.4.1 访问令牌（Access Token）

访问令牌是客户端用于访问受保护资源的凭证。它通常具有较短的有效期（如 15 分钟到 1 小时），以减少泄露风险。

2.4.2 刷新令牌（Refresh Token）

刷新令牌用于在访问令牌过期后获取新的访问令牌，而无需资源所有者重新授权。刷新令牌通常具有更长的有效期（如 7 天到 30 天），且支持轮换策略。

刷新令牌的典型使用流程：

1. 客户端检测到访问令牌过期（HTTP 401 响应）
2. 客户端向授权服务器的 /token 端点发送 grant_type=refresh_token 请求
3. 授权服务器验证刷新令牌的有效性
4. 授权服务器返回新的访问令牌（和可选的新的刷新令牌）
5. 客户端使用新的访问令牌重新请求资源

2.5 令牌生命周期与契约治理

从契约治理角度，令牌的生命周期必须在 API 契约中显式定义：

// 契约示例：令牌响应结构（OAuth2.0 标准）
{
  "access_token": "eyJhbGciOiJSUzI1NiIs...",
  "token_type": "Bearer",
  "expires_in": 3600,
  "refresh_token": "def50200...",
  "scope": "read write"
}

• expires_in： 访问令牌的有效期（秒），契约中必须明确该字段的语义
• scope： 令牌实际拥有的权限范围，资源服务器必须校验
• refresh_token： 可选字段，契约中应说明是否支持刷新令牌以及轮换策略

2.6 核心概念关系总结

下图展示了六个核心概念之间的依赖与数据流关系：