4. OAuth2.0 授权码流程详解

授权码流程（Authorization Code Flow）是 OAuth2.0 中最安全、最常用的授权方式，特别适用于有后端服务的 Web 应用。该流程通过引入一个临时的“授权码”作为中间凭证，确保访问令牌（Access Token）不会暴露在用户代理（浏览器）中，从而有效降低令牌泄露风险。

整个流程可拆解为四个核心阶段：授权码请求、用户授权、授权码交换令牌、访问资源。下面将逐一深入解析每个阶段的交互细节与安全要点。

4.1 授权码请求（Authorization Request）

客户端（Client）引导资源所有者（User）访问授权服务器（Authorization Server）的授权端点，发起授权请求。此阶段发生在用户浏览器中，客户端通过 HTTP 重定向将用户引导至授权服务器。

// 构造授权请求 URL（示例）
authURL := fmt.Sprintf(
    "https://auth.example.com/oauth2/authorize?response_type=code&client_id=%s&redirect_uri=%s&scope=openid+profile&state=%s",
    url.QueryEscape(clientID),
    url.QueryEscape(redirectURI),
    url.QueryEscape(state),
)
// 重定向用户浏览器至授权服务器
http.Redirect(w, r, authURL, http.StatusFound)

4.2 用户授权（User Authorization）

资源所有者（用户）在授权服务器上完成身份认证后，决定是否授权客户端请求的权限。授权服务器展示授权页面，列出客户端名称、请求的权限范围等信息，用户点击“允许”或“拒绝”。

用户授权后，授权服务器生成一个临时的授权码，并通过重定向将用户浏览器送回客户端指定的 redirect_uri，授权码附加在 URL 查询参数中。

// 授权回调 URL 示例（授权服务器重定向回客户端）
// https://client.example.com/callback?code=AUTH_CODE_XYZ&state=CLIENT_STATE_ABC

4.3 授权码交换令牌（Token Exchange）

客户端收到授权码后，在后端服务端直接向授权服务器的令牌端点（Token Endpoint）发起 POST 请求，用授权码换取访问令牌（Access Token）和可选的刷新令牌（Refresh Token）。此阶段不经过用户浏览器，令牌不会暴露给用户代理。

// Go 后端发起令牌交换请求
tokenURL := "https://auth.example.com/oauth2/token"
data := url.Values{
    "grant_type":   {"authorization_code"},
    "code":         {authCode},
    "redirect_uri": {redirectURI},
    "client_id":    {clientID},
    "client_secret": {clientSecret},
}

resp, err := http.PostForm(tokenURL, data)
if err != nil {
    // 处理错误
}
defer resp.Body.Close()

// 解析响应 JSON 获取 access_token
var tokenResp struct {
    AccessToken  string `json:"access_token"`
    TokenType    string `json:"token_type"`
    ExpiresIn    int    `json:"expires_in"`
    RefreshToken string `json:"refresh_token,omitempty"`
    IDToken      string `json:"id_token,omitempty"`
}
json.NewDecoder(resp.Body).Decode(&tokenResp)

4.4 访问资源（Access Resource）

客户端获得访问令牌后，在请求受保护资源时，将令牌放入 HTTP 请求的 Authorization 头中，以 Bearer 令牌的形式发送给资源服务器（Resource Server）。资源服务器验证令牌的有效性、作用域和过期时间后，返回请求的资源数据。

// 使用访问令牌访问受保护资源
req, _ := http.NewRequest("GET", "https://api.example.com/user/profile", nil)
req.Header.Set("Authorization", "Bearer "+tokenResp.AccessToken)

client := &http.Client{}
resp, err := client.Do(req)
if err != nil {
    // 处理错误
}
defer resp.Body.Close()

// 读取资源响应
body, _ := io.ReadAll(resp.Body)
fmt.Println(string(body))

4.5 流程安全要点总结