1. OAuth2.0 基础：协议概述、四种授权模式与授权码流程详解

1.1 OAuth2.0 协议概述

OAuth2.0 是目前业界标准的授权协议，它允许第三方应用在用户授权的前提下，安全地访问用户存储在资源服务器上的受保护资源，而无需向第三方暴露用户的长期凭证（如密码）。该协议的核心思想是将授权与认证分离，通过颁发一个短期、作用域受限的访问令牌（Access Token）来实现资源访问控制。

1.2 四种授权模式

OAuth2.0 根据客户端类型和安全需求，定义了四种授权模式（Grant Types）。每种模式在令牌获取流程、安全级别和适用场景上存在显著差异。

1.3 授权码模式流程详解

授权码模式是 OAuth2.0 中最完整、最安全的流程。它通过引入一个临时的“授权码”作为中间凭证，避免了访问令牌直接暴露在用户代理（浏览器）中，从而降低了令牌泄露的风险。整个流程分为以下六个关键步骤：

1. 发起授权请求：客户端构造一个授权请求 URL，将用户重定向到授权服务器。URL 中包含 response_type=code、client_id、redirect_uri 和 scope 等参数。
2. 用户认证与授权：用户在授权服务器上登录，并确认是否授权客户端访问其资源。
3. 返回授权码：用户同意授权后，授权服务器通过重定向将用户浏览器带回客户端指定的 redirect_uri，并在 URL 的查询参数中附带一个临时的 code（授权码）。
4. 客户端请求令牌：客户端在后台（通常是从服务器端发起）使用收到的授权码，连同自己的 client_id 和 client_secret，向授权服务器的令牌端点（Token Endpoint）发起 POST 请求。
5. 颁发访问令牌：授权服务器验证授权码和客户端凭证的有效性后，返回一个访问令牌（Access Token）和可选的刷新令牌（Refresh Token）。
6. 访问受保护资源：客户端使用获取到的访问令牌，在请求头中携带 Authorization: Bearer <token>，向资源服务器请求用户数据。

1.4 授权码模式的关键安全设计

授权码模式的安全性建立在以下几个关键设计之上，这些设计也是我们在 Go 中间件开发中需要重点关注和实现的点：

• 授权码的临时性与一次性：授权码有效期极短（通常为几分钟），且只能使用一次。即使授权码在传输过程中被截获，攻击者也无法在短时间内利用它，并且一旦客户端成功换取令牌，该授权码立即失效。
• 客户端凭证的保密性：client_secret 仅在客户端与授权服务器之间的后端通信中使用，不会暴露给用户代理。这要求客户端必须有能力安全地存储机密信息（如 Web 后端）。
• 重定向 URI 的校验：授权服务器必须严格校验客户端提交的 redirect_uri 是否与注册时登记的 URI 一致，防止授权码被重定向到攻击者的服务器。
• CSRF 防护（state 参数）：OAuth2.0 协议强烈建议在授权请求中携带一个不可预测的 state 参数。授权服务器在回调时会原样返回该参数，客户端通过验证 state 值来防止跨站请求伪造攻击。

1.5 授权码模式与 PKCE 扩展

对于无法安全存储 client_secret 的客户端（如原生移动 App 或单页应用），OAuth2.0 提供了 PKCE（Proof Key for Code Exchange）扩展。PKCE 通过在授权请求中引入一个动态生成的 code_verifier 和 code_challenge，使得即使授权码被截获，攻击者也无法在没有 code_verifier 的情况下换取令牌。