4. OAuth 2.0 授权框架：四种授权模式详解与授权码模式流程

OAuth 2.0 是目前业界标准的授权框架，它允许第三方应用在用户授权的前提下，安全地访问用户存储在资源服务器上的受保护资源，而无需暴露用户的长期凭证（如密码）。本章将深入剖析 OAuth 2.0 的四种授权模式，并重点拆解最安全、最常用的授权码模式（Authorization Code Grant）的完整流程。

4.1 OAuth 2.0 核心角色与授权模式概览

在深入模式之前，必须明确 OAuth 2.0 框架中定义的四个核心角色：

OAuth 2.0 根据客户端类型和安全性要求，定义了四种授权模式：

4.2 授权码模式（Authorization Code Grant）详解

授权码模式是流程最完整、安全性最高的模式。其核心思想是：客户端先获取一个临时的“授权码”（Authorization Code），再用这个授权码去换取最终的“访问令牌”（Access Token）。授权码通过前端通道传递，而令牌通过后端安全通道交换，有效避免了令牌在浏览器或用户代理中被泄露的风险。

4.2.1 授权码模式完整流程（SVG 流程图）

4.2.2 流程步骤拆解

1. 用户访问客户端： 用户在浏览器中打开第三方应用（客户端），并尝试访问需要授权的功能。
2. 客户端构造授权请求： 客户端将用户重定向到授权服务器的授权端点（/authorize），URL 中包含 response_type=code、client_id、redirect_uri、scope 和 state 参数。
3. 用户认证并授权： 用户在授权服务器上登录，并确认是否授权客户端访问其资源。
4. 授权服务器返回授权码： 授权服务器通过 redirect_uri 将浏览器重定向回客户端，并在 URL 查询参数中附带一个临时的 授权码（code） 和 state 参数。
5. 客户端用授权码换取令牌： 客户端收到授权码后，通过服务器端的安全通道（HTTPS POST）向授权服务器的令牌端点（/token）发送请求，携带 grant_type=authorization_code、code、redirect_uri 以及客户端自身的凭证（client_id 和 client_secret）。
6. 授权服务器返回访问令牌： 授权服务器验证授权码和客户端凭证无误后，返回 访问令牌（Access Token） 和可选的 刷新令牌（Refresh Token）。
7. 客户端使用令牌访问资源： 客户端在 HTTP 请求的 Authorization 头中携带 Bearer {Access Token}，向资源服务器请求受保护资源。
8. 资源服务器返回资源： 资源服务器验证令牌的有效性（如 JWT 签名或内省），若有效则返回请求的资源数据。

4.3 其他三种授权模式简述

4.3.1 隐式模式（Implicit Grant）

隐式模式是授权码模式的简化版，授权服务器直接返回 访问令牌 而非授权码。由于令牌直接暴露在 URL 片段中，安全性较低，容易受到访问令牌泄露和重放攻击。该模式已被 IETF OAuth 2.0 Security BCP 标准标记为不推荐使用。

4.3.2 密码模式（Resource Owner Password Credentials Grant）

用户直接将用户名和密码提供给客户端，由客户端使用这些凭证向授权服务器换取令牌。此模式要求客户端高度可信（如官方第一方应用），且用户无法控制授权范围。在分布式系统中，应尽量避免使用此模式，因为它违背了“不共享密码”的核心安全原则。

4.3.3 客户端凭证模式（Client Credentials Grant）

客户端使用自身的凭证（client_id 和 client_secret）直接向授权服务器请求令牌，不涉及用户授权。此模式适用于服务器到服务器的后台通信、定时任务或 API 网关之间的内部调用。

4.4 四种模式对比总结

4.5 授权码模式代码示例（Go 语言）

以下是一个使用 Go 语言模拟授权码模式中客户端发起令牌交换请求的代码片段：

package main

import (
    "bytes"
    "encoding/json"
    "fmt"
    "net/http"
    "net/url"
)

// TokenResponse 定义令牌端点返回的结构
type TokenResponse struct {
    AccessToken  string `json:"access_token"`
    TokenType    string `json:"token_type"`
    ExpiresIn    int    `json:"expires_in"`
    RefreshToken string `json:"refresh_token,omitempty"`
    Scope        string `json:"scope,omitempty"`
}

// ExchangeCodeForToken 使用授权码换取访问令牌
func ExchangeCodeForToken(authCode, clientID, clientSecret, redirectURI, tokenEndpoint string) (*TokenResponse, error) {
    data := url.Values{}
    data.Set("grant_type", "authorization_code")
    data.Set("code", authCode)
    data.Set("redirect_uri", redirectURI)
    data.Set("client_id", clientID)
    data.Set("client_secret", clientSecret)

    req, err := http.NewRequest("POST", tokenEndpoint, bytes.NewBufferString(data.Encode()))
    if err != nil {
        return nil, fmt.Errorf("创建请求失败: %w", err)
    }
    req.Header.Set("Content-Type", "application/x-www-form-urlencoded")

    client := &http.Client{}
    resp, err := client.Do(req)
    if err != nil {
        return nil, fmt.Errorf("请求令牌端点失败: %w", err)
    }
    defer resp.Body.Close()

    if resp.StatusCode != http.StatusOK {
        return nil, fmt.Errorf("令牌端点返回非 200 状态码: %d", resp.StatusCode)
    }

    var tokenResp TokenResponse
    if err := json.NewDecoder(resp.Body).Decode(&tokenResp); err != nil {
        return nil, fmt.Errorf("解析令牌响应失败: %w", err)
    }

    return &tokenResp, nil
}

func main() {
    // 示例调用（请替换为实际值）
    token, err := ExchangeCodeForToken(
        "auth_code_from_redirect",
        "your_client_id",
        "your_client_secret",
        "https://yourapp.com/callback",
        "https://authserver.com/token",
    )
    if err != nil {
        fmt.Println("错误:", err)
        return
    }
    fmt.Printf("获取到访问令牌: %s\n", token.AccessToken)
}