2. OAuth2.0 核心概念：资源拥有者、客户端、授权服务器、资源服务器、访问令牌、刷新令牌

OAuth2.0 是一种授权框架，它定义了一组角色和交互流程，使得第三方应用（客户端）能够在资源拥有者的授权下，有限度地访问其受保护的资源。理解这六大核心概念是设计对象存储桶权限架构的基础。

2.1 六大核心角色与组件

OAuth2.0 协议定义了四个核心角色和两个关键令牌组件。在对象存储场景中，这些角色映射到具体的系统组件：

2.2 核心交互流程

下图展示了 OAuth2.0 授权码流程中六大核心组件之间的典型交互关系：

2.3 令牌生命周期与安全属性

访问令牌和刷新令牌是 OAuth2.0 安全性的核心。在对象存储场景中，它们的生命周期管理直接影响桶权限的安全性。

2.4 对象存储中的令牌作用域设计

在对象存储安全架构中，令牌的作用域（Scope）设计是权限控制的核心。以下是一个典型的桶权限作用域设计示例：

// 访问令牌的 JWT 载荷示例（包含桶级别权限）
{
  "iss": "https://iam.example.com",
  "sub": "bucket-admin-001",
  "aud": "https://s3.example.com",
  "exp": 1718000000,
  "iat": 1717996400,
  "scope": "s3:GetObject s3:ListBucket s3:PutObject",
  "bucket": "production-data",
  "prefix": "logs/2024/",
  "client_id": "data-analyzer-app"
}

2.5 六大核心概念关系总结

下表总结了六大核心概念在对象存储桶权限架构中的角色定位和关键约束：