从0开始构建一个Oauth2 Server服务 28
#

术语参考
#

角色
#

OAuth 定义了四种角色：

资源所有者（用户）
资源服务器（API）
授权服务器（可以是API的同一台服务器）
客户端（应用程序）

用户
#

OAuth 2.0 规范将用户称为“资源所有者”。资源所有者是授予访问其帐户某些部分的权限的人。这种情况下的资源可以是数据（照片、文档、联系人）、服务（发布博客条目、转移资金）或任何其他需要访问限制的资源。任何想要代表用户行事的系统都必须首先获得他们的许可。

应用程序接口
#

该规范将您通常认为的主要 API 称为“资源服务器”。资源服务器是第三方应用程序正在访问的包含用户信息的服务器。资源服务器必须能够接受和验证访问令牌，并在用户允许的情况下授予请求。资源服务器不一定需要了解应用程序。

授权服务器
#

授权服务器是用户在应用程序请求访问其帐户时与之交互的内容。这是显示 OAuth 提示的服务器，也是用户批准或拒绝应用程序请求的地方。授权服务器还负责在用户授权应用程序后授予访问令牌。

客户端
#

客户端是试图代表用户或访问用户资源的应用程序。客户端在访问用户账户之前，需要获得权限。客户端将通过将用户定向到授权服务器或通过直接向授权服务器断言权限而无需用户交互来获得权限。

机密客户
#

机密客户是有能力维护client_secret. 通常，这些客户端只是在开发人员控制下在服务器上运行的应用程序，用户无法访问其中的源代码。这些类型的应用程序通常称为“Web 应用程序”，因为它们通常在 Web 服务器上运行。

公共客户
#

公共客户端无法维护 a 的机密性client_secret，因此这些应用程序不使用秘密。移动应用程序和 Javascript 应用程序都被视为公共客户端。由于运行 Javascript 应用程序的任何人都可以轻松查看应用程序的源代码，因此在那里可以轻松看到秘密。对于移动应用程序，可以反编译二进制文件以提取字符串。任何时候应用程序在用户控制下的设备上运行，都应被视为公共客户端。