4. 客户端凭证模式与设备码模式

在 OAuth 2.0 的四种授权模式中，客户端凭证模式（Client Credentials Grant）与设备码模式（Device Code Grant）分别服务于机器间通信和无浏览器设备的场景。本章将深入剖析这两种模式的流程、适用场景及 Go 语言实现要点。

4.1 客户端凭证模式（Client Credentials）

4.1.1 核心概念与流程

客户端凭证模式适用于客户端自身作为资源所有者（即没有最终用户参与）的场景。客户端使用自己的 client_id 和 client_secret 直接向授权服务器请求访问令牌，无需授权码或用户交互。

标准流程包含以下步骤：

1. 客户端认证： 客户端向授权服务器的令牌端点发送 POST 请求，携带 grant_type=client_credentials 以及自己的凭证。
2. 令牌发放： 授权服务器验证客户端身份和权限，若通过则返回 access_token（通常不返回 refresh_token）。
3. 资源访问： 客户端使用该令牌访问受保护的 API 资源。

4.1.2 适用场景

4.1.3 流程示意图

4.1.4 Go 实现示例

package main

import (
    "context"
    "fmt"
    "golang.org/x/oauth2/clientcredentials"
)

func main() {
    config := clientcredentials.Config{
        ClientID:     "your-client-id",
        ClientSecret: "your-client-secret",
        TokenURL:     "https://auth.example.com/oauth2/token",
        Scopes:       []string{"api:read", "api:write"},
    }

    // 获取令牌（自动处理刷新）
    token, err := config.Token(context.Background())
    if err != nil {
        panic(err)
    }
    fmt.Printf("Access Token: %s\n", token.AccessToken)

    // 使用令牌创建 HTTP 客户端
    client := config.Client(context.Background())
    resp, err := client.Get("https://api.example.com/v1/orders")
    if err != nil {
        panic(err)
    }
    defer resp.Body.Close()
    // 处理响应...
}

4.2 设备码模式（Device Code）

4.2.1 核心概念与流程

设备码模式专为输入能力受限的设备设计，例如智能电视、机顶盒、物联网终端等。这些设备无法直接打开浏览器进行 OAuth 授权，而是通过让用户在另一台设备（如手机或电脑）上完成登录来间接获取令牌。

标准流程包含以下步骤：

1. 设备发起请求： 设备向授权服务器的设备码端点发送 POST 请求，携带 client_id。
2. 服务器返回设备码和用户码： 授权服务器返回 device_code、user_code、verification_uri 和 interval（轮询间隔）。
3. 设备显示用户码： 设备在屏幕上显示 user_code 和 verification_uri，提示用户访问该 URI 并输入用户码。
4. 用户完成授权： 用户在浏览器中访问验证 URI，输入用户码并登录授权。
5. 设备轮询令牌： 设备以 interval 为间隔，向令牌端点发送 device_code 轮询授权状态。
6. 服务器返回令牌： 一旦用户授权完成，服务器返回 access_token（可选 refresh_token）。

4.2.2 适用场景

4.2.3 流程示意图

4.2.4 Go 实现示例

package main

import (
    "context"
    "fmt"
    "golang.org/x/oauth2"
)

func main() {
    config := &oauth2.Config{
        ClientID: "your-client-id",
        Endpoint: oauth2.Endpoint{
            DeviceAuthURL: "https://auth.example.com/oauth2/device/code",
            TokenURL:      "https://auth.example.com/oauth2/token",
        },
        Scopes: []string{"device:control"},
    }

    // 1. 获取设备码
    deviceCode, err := config.DeviceAuth(context.Background())
    if err != nil {
        panic(err)
    }

    fmt.Printf("请在浏览器中访问: %s\n", deviceCode.VerificationURI)
    fmt.Printf("输入用户码: %s\n", deviceCode.UserCode)

    // 2. 轮询等待用户授权
    token, err := config.DeviceAccessToken(context.Background(), deviceCode)
    if err != nil {
        panic(err)
    }

    fmt.Printf("Access Token: %s\n", token.AccessToken)
    // 使用 token 访问设备 API...
}

4.3 两种模式对比