2. 授权码模式详解

授权码模式（Authorization Code Grant）是 OAuth 2.0 协议中功能最完整、安全性最高的授权流程。它通过引入一个临时的“授权码”作为中间凭证，将资源拥有者的凭据与最终访问令牌完全隔离，从而在开放网络环境中实现安全的委托授权。本节将深入剖析其核心流程、适用场景及优缺点。

2.1 授权码模式流程

授权码模式涉及四个核心角色：资源拥有者（用户）、用户代理（浏览器）、客户端（第三方应用）和授权服务器。其完整流程包含以下七个步骤：

1. 授权请求：客户端引导资源拥有者的用户代理访问授权服务器的 /authorize 端点，携带 response_type=code、client_id、redirect_uri 和 scope 等参数。
2. 用户认证与授权：授权服务器对资源拥有者进行身份认证，并向用户展示授权页面，明确告知客户端将获得的权限范围。
3. 授权码下发：用户同意授权后，授权服务器通过 302 重定向将用户代理引导至客户端指定的 redirect_uri，并在 URL 查询参数中附加一个一次性使用的 授权码（authorization code）。
4. 令牌请求：客户端使用上一步获取的授权码，在服务端后端直接向授权服务器的 /token 端点发起 POST 请求，同时携带 grant_type=authorization_code、code、redirect_uri 以及客户端自身凭据（client_id 和 client_secret）。
5. 令牌颁发：授权服务器验证授权码的有效性、客户端身份以及 redirect_uri 是否匹配。验证通过后，颁发 访问令牌（access token）和可选的 刷新令牌（refresh token）。
6. 资源访问：客户端使用访问令牌向资源服务器请求受保护的资源。
7. 资源返回：资源服务器验证令牌有效后，返回请求的资源数据。

2.2 授权码模式适用场景

授权码模式并非适用于所有场景，其设计初衷决定了它最适合以下情况：

2.3 授权码模式优缺点

任何技术方案都有其权衡。授权码模式在提供强大安全保障的同时，也引入了额外的复杂性。以下从多个维度进行对比分析：

2.4 授权码模式在 Go 项目中的实现要点

在 Go 项目中实现授权码模式时，建议遵循以下实践：

• 使用标准库：优先使用 golang.org/x/oauth2 包，它提供了对授权码模式的原生支持，包括 Config、Exchange 和 TokenSource 等核心组件。
• 状态参数防 CSRF：在授权请求中必须携带 state 参数，并在回调中验证其一致性，防止跨站请求伪造攻击。
• 令牌安全存储：访问令牌和刷新令牌应存储在服务端的安全存储中（如加密数据库或专用令牌服务），避免写入客户端 Cookie 或本地存储。
• 令牌自动刷新：利用 oauth2.TokenSource 的 Token() 方法自动处理令牌刷新逻辑，确保客户端始终使用有效令牌访问资源。

// Go 授权码模式核心实现示例
import (
    "golang.org/x/oauth2"
    "golang.org/x/oauth2/github"
)

var oauthConfig = &oauth2.Config{
    ClientID:     "your-client-id",
    ClientSecret: "your-client-secret",
    RedirectURL:  "https://yourapp.com/callback",
    Scopes:       []string{"user:email", "repo"},
    Endpoint:     github.Endpoint,
}

// 步骤 1：生成授权 URL，并保存 state
func AuthHandler(w http.ResponseWriter, r *http.Request) {
    state := generateRandomState()
    session.Save(w, r, "oauth_state", state)
    url := oauthConfig.AuthCodeURL(state, oauth2.AccessTypeOffline)
    http.Redirect(w, r, url, http.StatusFound)
}

// 步骤 4-5：回调处理，交换授权码获取令牌
func CallbackHandler(w http.ResponseWriter, r *http.Request) {
    state := r.URL.Query().Get("state")
    savedState := session.Get(r, "oauth_state")
    if state != savedState {
        http.Error(w, "State mismatch", http.StatusBadRequest)
        return
    }
    code := r.URL.Query().Get("code")
    token, err := oauthConfig.Exchange(r.Context(), code)
    if err != nil {
        http.Error(w, "Token exchange failed", http.StatusInternalServerError)
        return
    }
    // 安全存储 token
    saveToken(w, r, token)
    http.Redirect(w, r, "/dashboard", http.StatusFound)
}