OAuth2.0概念

Question

我对OAuth2密码授予类型感到困惑

在这里 ，令牌的实现就像使用EndPoint / Claims一样
在此站点或此博客中 ，令牌由JSON对象实现，其中包含所有客户端凭据细节

任何人都可以帮助更好地清除概念吗？

Answer 1

如果您指的是访问令牌，那么它可以是两种类型（无特殊含义的字符串或JSON，XML或其他格式）。 OAuth2规范说：

访问令牌是代表颁发给客户端的授权的字符串。 该字符串通常对客户端是不透明的。 令牌代表资源所有者授予并由资源服务器和授权服务器强制实施的特定访问范围和持续时间。

令牌可以表示用于检索授权信息的标识符，或者可以以可验证的方式自我包含授权信息（即，由某些数据和签名组成的令牌字符串）。

因此，这取决于OAuth2的实现。

如果您是指ID令牌 （来自OpenID Connect），则它必须为JWT（签名JSON）格式。

Answer 2

有四个Oauth2流来获取访问令牌（不是ID令牌），具体取决于客户端系统代表最终用户如何获取访问令牌。 借助OAuth2密码授予流程，客户端应用程序将显示登录页面，获取密码并使用来自授权服务器的REST API调用对用户进行身份验证。 成功认证后，授权服务器会将令牌返回给客户端应用。 例如移动应用程序，但它不如其他Oauth2流安全，应仅与受信任的客户端应用程序一起使用。 我对此写了一篇文章，您可以查看更多详细信息，链接在这里https://www.linkedin.com/pulse/microservices-security-openid-connect-manish-singh