OAuth 2实战宝典
糜鹏程
464人在读
12.3万字总字数
¥34.64定价
糜鹏程
随着互联网的普及，合作共赢成了一个越来越受重视的话题。一些成熟的互联网企业，需 要与众多的第三方企业进行合作，以便为自己的用户提供丰富的个性化应用。在这个过程中， 企业需要将自身的一些能力(API)开放给第三方合作企业，具体的实现形式一般是搭建一个 专门的开放平台系统。 无论企业通过何种方式来开放自身的能力，授权都是一个绕不开的话题。本书将通过 8 章 来详细对授权的相关内容进行阐述，主要内容包括 OAuth 2 概述、开放平台整体架构、实战中 的授权模式、OpenID 从理论到实战、授权码授权模式回调地址实战、签名、授权信息、基于 Spring Security 的 OAuth 2 实战。
总体还是很推荐，前面讲oauth比较清晰易懂，后面代码就有点水篇幅了。 结合里面的内容学习➕代码实操，一步步自己写，从简单一步步扩张。会更深入理解。 其实oauth使用最多的就是授权码授权模式，就是code换token的模式，最安全最灵活最常见。其他sso和open id都是衍生品。
回想 15 年做公众号开发，那时候刚入门，不懂什么鉴权，授权。还在因为 chrome 能 F12 断点调试而兴奋。现在重新看 OAuth2，有种重新重走来时路的感觉。
我是以前端开发者的身份阅读，对OAuth2中，涉及到的对象、url中的参数、返回值中的参数，我这个小白也能理解。 对授权系统的运行模式有了更多了解：如何管理token（在使用无序字符串作为token时，授权系统会存储以token为key，以授权信息为value的数据）、优化鉴权速度（比如建立缓存层，将token和授权信息对象{xx}，以字符串形式拼接） 对涉及到的参数的作用有了更多的了解：scope、open_id、state(我听说国内有公司忽略state，导致漏洞，跨站请求脚本攻击) 在阅读前，最好动手操作keycloak的实践经历。本地起个web服务，在本地起一个keycloak的服务（我的理解这就是一个授权系统[有配置用户、client、域的中台]+认证系统[登录页]）。 我用的React，使用了keycloak的sdk，我在React项目中只实现了很简单的功能:登入登出。
无脑罗列了一些内容和概念，感觉像是评职称的目的凑了本书出来，一点系统性逻辑性都没有