1. OAuth2.0 授权码流程概述：授权码模式的核心角色与交互流程

1.1 授权码模式（Authorization Code Grant）定位

授权码模式是 OAuth2.0 协议中功能最完整、安全性最高的授权流程，专为有服务端后端的 Web 应用设计。其核心特征是：授权服务器先向客户端颁发一个短期、一次性的“授权码”（Authorization Code），客户端再使用该授权码向授权服务器换取访问令牌（Access Token）。这种“两步走”机制确保访问令牌不会暴露在用户代理（浏览器）端，有效降低了令牌泄露风险。

1.2 四大核心角色

1.3 授权码模式完整交互流程

以下流程图展示了授权码模式中四个角色之间的 7 个核心步骤。注意：授权码（Authorization Code）仅在步骤 4 中出现一次，且生命周期极短（通常 1~5 分钟）。

1.4 步骤详解与关键参数

1. 用户访问客户端：资源所有者（用户）在浏览器中打开客户端应用，触发登录/授权操作。
2. 客户端构造授权请求：客户端将用户重定向到授权服务器的 /authorize 端点，携带以下参数：

   GET /authorize?response_type=code
   &client_id=YOUR_CLIENT_ID
   &redirect_uri=https://client.example.com/callback
   &scope=openid profile email
   &state=xyz123

3. 用户认证并授权：授权服务器展示登录页面和授权确认页面，用户输入凭证并同意授权。
4. 返回授权码：授权服务器将用户重定向回客户端的 redirect_uri，并在 URL 查询参数中附带授权码：

   HTTP/1.1 302 Found
   Location: https://client.example.com/callback?code=AUTHORIZATION_CODE&state=xyz123

5. 客户端用授权码换令牌：客户端在服务端使用授权码向授权服务器的 /token 端点发起 POST 请求，同时验证 client_secret：

   POST /token HTTP/1.1
   Content-Type: application/x-www-form-urlencoded
   
   grant_type=authorization_code
   &code=AUTHORIZATION_CODE
   &redirect_uri=https://client.example.com/callback
   &client_id=YOUR_CLIENT_ID
   &client_secret=YOUR_CLIENT_SECRET

6. 返回访问令牌：授权服务器验证授权码和客户端身份后，返回 access_token（可选附带 refresh_token）：

   {
     "access_token": "eyJhbGciOiJSUzI1NiIs...",
     "token_type": "Bearer",
     "expires_in": 3600,
     "refresh_token": "tGzv3JOkF0XG5Qx2TlKWIA"
   }

7. 客户端访问资源：客户端使用 access_token 向资源服务器请求受保护资源：

   GET /api/userinfo HTTP/1.1
   Authorization: Bearer eyJhbGciOiJSUzI1NiIs...

1.5 授权码模式的安全优势

1.6 授权码模式与 Redis 联动的切入点

在本课程后续章节中，我们将深入探讨如何利用 Redis 缓存来增强授权码模式的安全性、性能和可观测性。以下是几个关键联动场景的预览：

• 授权码缓存：将授权码及其关联的元数据（client_id、redirect_uri、scope、state）存储在 Redis 中，设置 TTL 自动过期，避免数据库频繁读写。
• 授权码一次性校验：利用 Redis 的原子操作（如 SETNX 或 GETDEL）确保授权码只能被兑换一次，防止重放攻击。
• 错误码断言缓存：将授权码流程中的错误码与 Redis 中的状态关联，实现快速错误诊断和告警。
• 令牌黑名单：将已撤销的访问令牌存入 Redis，实现实时令牌失效检测。