1. OAuth2.0 协议基础

1.1 四种授权模式概述

OAuth2.0 协议定义了四种核心授权模式，分别适用于不同的客户端类型与安全场景。下表从客户端类型、安全等级、典型场景三个维度进行对比：

1.2 客户端凭证模式（Client Credentials）

适用场景

客户端凭证模式专为机器对机器（M2M）通信设计，适用于以下场景：

• 微服务间内部 API 调用：服务 A 需要调用服务 B 的受保护资源，无需用户上下文。
• 后台定时任务与批处理：如数据同步、报表生成、日志归档等自动化作业。
• API 网关与第三方平台集成：后端服务向外部 API 发起认证请求，如支付网关、消息推送。
• CLI 工具与运维脚本：通过 client_id + client_secret 获取临时令牌执行管理操作。

核心流程

客户端凭证模式的完整交互流程包含以下 5 个步骤：

1. 客户端注册：后端服务在授权服务器注册，获取 client_id 和 client_secret。
2. 发起令牌请求：客户端使用 client_id 和 client_secret 向授权服务器的 /token 端点发送 POST 请求。
3. 授权服务器验证：服务器验证客户端凭证有效性，确认客户端有权访问指定 scope。
4. 下发 access_token：验证通过后，服务器返回 access_token 及可选的 expires_in、token_type。
5. 访问受保护资源：客户端在 HTTP 请求头中携带 Authorization: Bearer <access_token> 调用目标 API。

令牌请求示例

客户端向授权服务器发起令牌请求的 HTTP 报文如下：

POST /oauth/token HTTP/1.1
Host: auth.example.com
Content-Type: application/x-www-form-urlencoded

grant_type=client_credentials
&client_id=your_client_id
&client_secret=your_client_secret
&scope=read write

授权服务器成功响应示例：

HTTP/1.1 200 OK
Content-Type: application/json;charset=UTF-8

{
  "access_token": "eyJhbGciOiJSUzI1NiIsInR5cCI6IkpXVCJ9...",
  "token_type": "Bearer",
  "expires_in": 3600,
  "scope": "read write"
}

与其它模式的对比