Recently Updated Pages
3.1. 授权端点
3.1. 授权端点 授权端点用于与资源所有者交互获取授权许可。 授权服务器必须先验证资源所有者的身份。 授权服务器对资源所有者进行身份验证的方式（例如，用户名和密码登录、会话cookies）超...
3.协议端点（3. Protocol Endpoints）
授权过程采用了两种授权服务器端点（HTTP资源）： 授权端点——客户端用其通过用户代理重定向从资源所有者获取授权。 令牌端点——客户端用其将授权许可交换为访问令牌，通常伴有客户端身份验证...
2.4. 未注册客户端（2.4. Unregistered Clients）
2.4. 未注册客户端 本规范不排除使用未注册的客户端。然而，使用这样的客户端超出了本规范的范围，并需要额外的安全性分析并审查其互操作性影响。 2.4. Unregistered Clie...
2.3.2. 其他身份验证方法（2.3.2. Other Authentication Methods）
2.3.2. 其他身份验证方法 授权服务器可以支持任何与其安全要求匹配的合适的HTTP身份验证方案。当使用其他身份验证方法时，授权服务器必须定义客户端标识（注册记录）和认证方案之间的映射。 ...
2.3.1. 客户端密码 （2.3.1. Client Password）
2.3.1. 客户端密码 拥有客户端密码的客户端可以使用RFC2617中定义的HTTP基本身份验证方案与授权服务器进行身份验证。客户端标识使用按照附录B的“application/x-www-...
2.3. 客户端身份验证（2.3. Client Authentication）
2.3. 客户端身份验证 如果客户端类型是机密的，客户端和授权服务器建立适合于授权服务器的安全性要求的客户端身份验证方法。授权服务器可以接受符合其安全要求的任何形式的客户端身份验证。 机密客...
2.2. 客户端标识(2.2. Client Identifier)
2.2. 客户端标识 授权服务器颁发给已注册客户端客户端标识——一个代表客户端提供的注册信息的唯一字符串。客户端标识不是一个秘密，它暴露给资源所有者并且不能单独用于客户端身份验证。客户端标识对...
2.1. 客户端类型 (2.1. Client Types)
2.1. 客户端类型 根据客户端与授权服务器安全地进行身份验证的能力（即维护客户端凭据机密性的能力），OAuth定义了两种客户端类型： 机密客户端能够维持其凭据机密性（如客户端执行在具有对...
2.0 客户端注册（2. Client Registration）
2.0 客户端注册 在开始协议前，客户端在授权服务器注册。客户端在授权服务器上注册所通过的方式超出了本规范，但典型的涉及到最终用户与HTML注册表单的交互。 客户端注册不要求客户端与授权服务...
1.9. 符号约定
1.9. 符号约定 本规范中的关键词“必须”、“不能”、“必需的”、“要”、“不要”、“应该”、“不应该”、“推荐的”、“可以”以及“可选的”按RFC2119所述解释。 本规范使用RFC523...
1.8. 互操作性（1.8. Interoperability）
1.8. 互操作性 OAuth 2.0提供了丰富的具有明确的安全性质的授权框架。然而，尽管在其自身看来是一个带有许多可选择组件的丰富且高度可扩展的框架，本规范有可能产生许多非可互操作的实现。 ...
1.7. HTTP重定向（1.7. HTTP Redirections）
1.7. HTTP重定向 本规范广泛采用了HTTP重定向，有此客户端或授权服务器引导资源所有者的用户代理到另一个目的地址。虽然本规范中的例子演示了HTTP 302状态码的使用，但是任何其他通过...
1.6. TLS版本（1.6. TLS Version）
1.6. TLS版本 本规范任何时候使用传输层安全性（TLS），基于广泛的部署和已知的安全漏洞TLS的相应版本（或多个版本）将会随时间而变化。在本规范撰写时，TLS 1.2版RFC5246是最...
1.简介（1. Introduction）
在传统的客户端-服务器身份验证模式中，客户端请求服务器上访问受限的资源（受保护的资源）时，需要使用资源所有者的凭据在服务器上进行身份验证。 资源所有者为了给第三方应用提供受限资源的访问权限，需...
1.1. 角色（1.1. Roles）
OAuth定义了四种角色： 资源所有者 能够许可对受保护资源的访问权限的实体。当资源所有者是个人时，它被称为最终用户。 资源服务器 托管受保护资源的服务器，能够接收和响应使...
1.5. 刷新令牌 （1.5. Refresh Token）
1.5. 刷新令牌 刷新令牌是用于获取访问令牌的凭据。刷新令牌由授权服务器颁发给客户端，用于在当前访问令牌失效或过期时，获取一个新的访问令牌，或者获得相等或更窄范围的额外的访问令牌（访问令牌可...
1.4. 访问令牌 （1.4. Access Token）
1.4. 访问令牌 访问令牌是用于访问受保护资源的凭据。访问令牌是一个代表向客户端颁发的授权的字符串。该字符串通常对于客户端是不透明的。令牌代表了访问权限的由资源所有者许可并由资源服务器和授权...
1.3.4. 客户端凭据（1.3.4. Client Credentials）
当授权范围，限于客户端控制下的受保护资源或事先与 授权服务器商定的受保护资源时，客户端凭据，可以被用作为一种授权许可。典型的场景，当客户端代表自己的（功能角色acting）（时（acting o...
1.3.3. 资源所有者密码凭据 （1.3.3. Resource Owner Password Credentials）
资源所有者密码凭据（即用户名和密码），可以直接作为获取访问令牌的授权许可。这种凭据只能应该当资源所有者和客户端之间具有高度信任时（例如，客户端是设备的操作系统的一部分，或者是一个高度特权应用程序...
1.3.2. 隐式许可（1.3.2. Implicit）
1.3.2. 隐式许可 隐式许可是为用如JavaScript等脚本语言在浏览器中实现的客户端而优化的一种简化的授权码流程。在隐式许可流程中，不再给客户端颁发授权码，取而代之的是客户端直接被颁发...