4. OAuth2.0 密码模式（Resource Owner Password Credentials）
密码模式（Resource Owner Password Credentials Grant，简称 ROPC）是 OAuth2.0 授权框架中一种高度信任的授权方式。在该模式下，资源所有者（用户）直接将其用户名和密码提供给客户端应用，由客户端代为向授权服务器换取访问令牌（Access Token）。这种模式打破了 OAuth2.0 “客户端不应接触用户凭据” 的核心原则，因此其适用场景极为有限，且伴随显著的安全风险。
4.1 密码模式核心流程
密码模式的交互流程相对简洁，但信任假设极高。其核心步骤如下图所示：
流程步骤详解：
- 用户输入凭据：资源所有者（用户）在客户端应用提供的登录界面中输入用户名和密码。
- 客户端转发凭据：客户端应用将收到的用户凭据，连同自身的
client_id和client_secret，一并发送到授权服务器的令牌端点（Token Endpoint）。 - 授权服务器验证并颁发令牌：授权服务器验证用户凭据和客户端身份。验证通过后，直接返回 Access Token（可选返回 Refresh Token）。
- 客户端使用令牌：客户端使用获取到的 Access Token 向资源服务器请求受保护的资源。
- 资源服务器返回资源：资源服务器验证令牌有效后，返回请求的资源数据。
4.2 适用场景：第一方应用
密码模式的设计初衷并非用于第三方应用，而是为第一方（First-Party）应用提供一种简化的令牌获取方式。所谓第一方应用，是指由资源服务提供商（如社交平台、云服务商）自身开发并维护的官方应用。
| 场景类型 | 典型示例 | 说明 |
|---|---|---|
| 官方移动 App | 官方 iOS/Android 客户端 | 用户直接在官方 App 内输入密码，App 代表用户向服务器换取令牌。 |
| 官方桌面客户端 | Dropbox 桌面同步客户端 | 桌面应用无法安全使用重定向 URI，密码模式成为可行选项。 |
| 遗留系统迁移 | 企业内网旧版系统对接 OAuth2.0 | 旧系统无法实现复杂的授权码流程，密码模式可作为过渡方案。 |
| 高度信任的内部服务 | 公司内部运维平台 | 在完全可控的网络环境中，用于快速集成。 |
最佳实践建议：即使对于第一方应用，也应优先考虑授权码模式（Authorization Code Grant）配合 PKCE（Proof Key for Code Exchange）。密码模式应仅作为无法实施授权码模式时的最后选择。
4.3 安全风险与规避策略
密码模式的安全风险是 OAuth2.0 四种模式中最高的。其核心问题在于客户端应用直接持有用户明文凭据，这引入了多个攻击面。
4.3.1 主要安全风险
4.3.2 风险规避策略
| 风险类别 | 规避策略 | 实施要点 |
|---|---|---|
| 凭据泄露 | 客户端禁止持久化存储明文密码；使用后立即从内存中清除。 | iOS 使用 Keychain，Android 使用 EncryptedSharedPreferences，但仅存令牌，不存密码。 |
| 中间人攻击 | 强制全链路 HTTPS；实施证书固定（Certificate Pinning）。 | 所有与授权服务器和资源服务器的通信必须使用 TLS 1.2+。 |
| 作用域放大 | 遵循最小权限原则，请求最精简的 scope。 | 授权服务器应限制密码模式可申请的 scope 范围，禁止请求敏感权限。 |
| 令牌持久化 | 设置较短的 Access Token 有效期；谨慎发放 Refresh Token。 | Access Token 建议 15-30 分钟；Refresh Token 可设置 7 天并支持撤销。 |
| 审计缺失 | 在授权服务器端记录令牌颁发日志，关联客户端 ID 和用户 ID。 | 日志应包含时间戳、客户端标识、用户标识、请求 IP 和 scope。 |
| 凭据重用 | 实施多因素认证（MFA）作为额外验证层。 | 密码模式可与 OTP 或生物识别结合，降低单一密码泄露的影响。 |
安全红线：密码模式不适用于第三方应用、浏览器端 JavaScript 应用（SPA）或任何无法保证客户端机密性的场景。在这些场景中使用密码模式，等同于将用户密码直接暴露给不可信实体。OAuth 2.0 Security BCP（Best Current Practice）已明确建议弃用密码模式。
4.4 密码模式与授权码模式对比
为了更清晰地理解密码模式的定位，下表将其与推荐使用的授权码模式进行对比：
| 对比维度 | 密码模式（ROPC） | 授权码模式（Authorization Code） |
|---|---|---|
| 凭据暴露 | 客户端直接接触用户明文密码 | 客户端不接触用户密码，仅通过授权码交换令牌 |
| 适用客户端 | 高度信任的第一方应用 | 所有类型的客户端（Web、移动、SPA） |
| 安全等级 | 低（依赖客户端安全能力） | 高（支持 PKCE 后安全性进一步提升） |
| 用户体验 | 简单，无需跳转浏览器 | 需要浏览器重定向，但支持 SSO |
| 令牌刷新 | 支持 Refresh Token | 支持 Refresh Token |
| OAuth 2.1 状态 | 已移除（不再推荐） | 核心模式（配合 PKCE 成为默认推荐） |
课程要点总结：
- 密码模式允许客户端直接使用用户密码换取令牌，流程简单但信任要求极高。
- 仅适用于第一方官方应用，且应作为无法实施授权码模式时的备选方案。
- 安全风险包括凭据泄露、中间人攻击、作用域放大等，必须通过 HTTPS、最小权限、短令牌有效期等策略缓解。
- OAuth 2.1 已正式移除密码模式，业界趋势是全面转向授权码模式 + PKCE。