什么是oAuth 2令牌

Question

我不是程序员（更像是一个脚本编写者），但想知道是否有人可以为我清理以下内容，因为我正在学习oAuth2

如果你有一个单独的身份验证服务器（例如谷歌，脸谱等）和一个单独的资源服务器（完全是一些其他网站）

当“客户端应用程序”将“访问令牌”呈现给资源服务器（以访问用户数据）时。资源服务器如何知道它可以信任访问令牌？

换句话说，访问令牌x509已签名并转换为base64或类似的东西，所以当资源服务器收到令牌时，它可以转换回json / xml或者它的格式然后检查签名？

如果是这样，则需要资源服务器在呈现的访问令牌的先进信任中信任认证服务器

如果有人能帮我解决这个问题，我将不胜感激

谢谢

__CAshtones

Answer 1

在这种情况下，使用授权代码而不是访问令牌。

在XYZ网站上点击Facebook登录时会发生这种情况。

1. XYZ网站与XYZclientID一起重定向到Facebook登录页面（XYZ应该已经在Facebook下注册为开发者）
2. Facebook确定XYZ（使用XYZclientID）想要验证ABC人员
3. ABC人登录到facebook。
4. Facebook发布授权代码（ABC + XYZ组合）并重定向回XYZ网站。
5. XYZ使用此授权码+ XYZclientID + XYZclientSecret来获取承载令牌
6. Facebook验证秘密并发出持票人令牌（与ABC人员相关联）
7. XYZ使用此承载令牌来检索ABC人员的详细信息。 （它不能用于检索DEG人的数据）
8. Facebook将电子邮件和ABC的其他个人详细信息发送给XYZ，XYZ显示ABC已登录。

这里更详细说明：https://www.scienceabc.com/innovation/oauth-how-does-login-with-facebook-google-work.html