1. OAuth2.0 基础概念：四种授权模式、令牌与刷新令牌、授权码流程详解

OAuth2.0 是目前业界最广泛使用的授权框架，它允许第三方应用在用户授权的前提下，安全地访问用户存储在资源服务器上的受保护资源，而无需暴露用户的长期凭证（如密码）。其核心思想是分离“资源拥有者”、“客户端应用”与“授权服务器”的角色，通过颁发短期、作用域受限的访问令牌（Access Token）来实现安全委托。

1.1 OAuth2.0 的四种授权模式

OAuth2.0 根据客户端类型（机密型 vs. 公开型）和交互方式，定义了四种授权模式。下表对比了它们的核心差异与适用场景：

1.2 令牌与刷新令牌

OAuth2.0 使用两种核心令牌来管理访问权限：

• 访问令牌（Access Token）：用于访问受保护资源的短期凭证。通常有效期为几分钟到几小时。一旦过期，资源服务器会拒绝请求。
• 刷新令牌（Refresh Token）：用于在访问令牌过期后，无需用户重新授权即可获取新的访问令牌。刷新令牌通常具有更长的有效期，且可以撤销。

刷新令牌的使用流程如下：

1. 客户端使用授权码或客户端凭证获取 Access Token 和 Refresh Token。
2. 客户端使用 Access Token 访问资源。
3. Access Token 过期，资源服务器返回 401 Unauthorized。
4. 客户端使用 Refresh Token 向授权服务器请求新的 Access Token。
5. 授权服务器验证 Refresh Token 有效，返回新的 Access Token（可选地返回新的 Refresh Token）。

1.3 授权码流程详解

授权码模式是 OAuth2.0 中最安全、最完整的流程，特别适合需要代表用户操作的消息队列接口。以下是标准授权码流程的步骤分解：

1. 用户发起授权请求：客户端将用户重定向到授权服务器的授权端点，包含 response_type=code、client_id、redirect_uri 和 scope。
2. 用户认证并授权：用户在授权服务器上登录，并同意客户端请求的权限范围。
3. 授权服务器返回授权码：授权服务器将用户重定向回客户端的 redirect_uri，并在 URL 查询参数中附带一个一次性使用的 授权码（Authorization Code）。
4. 客户端换取令牌：客户端使用授权码、自己的 client_secret 以及 redirect_uri，通过后端通道（POST 请求）向授权服务器的令牌端点请求 Access Token。
5. 授权服务器返回令牌：授权服务器验证授权码和客户端凭证，返回 Access Token 和可选的 Refresh Token。
6. 客户端访问资源：客户端使用 Access Token 在请求头中携带 Authorization: Bearer <token> 访问资源服务器。

下图展示了授权码模式的完整交互流程：

1.4 授权码流程中的关键安全机制

授权码模式之所以安全，主要依赖以下机制：

• 一次性授权码：授权码只能使用一次，且有效期极短（通常 1-5 分钟），即使被截获也难以利用。
• 后端令牌交换：授权码换令牌的请求必须包含 client_secret，该请求通过服务器到服务器的安全通道进行，避免了令牌暴露在浏览器中。
• PKCE 扩展：对于公开客户端（如移动 App 或 SPA），授权码模式配合 PKCE（Proof Key for Code Exchange）可以防止授权码被拦截后用于换取令牌。PKCE 使用 code_challenge 和 code_verifier 机制，即使授权码泄露，攻击者也无法完成令牌交换。