Я думал, что OAuth - это в основном спецификация аутентификации на основе токенов, но в большинстве случаев фреймворки действуют так, как будто между ними есть разница. Например, как показано на рисунке ниже, Jhipster спрашивает, использовать ли аутентификацию на основе OAuth или на основе токенов.
Разве это не одно и то же? В чем именно разница, поскольку оба включают токены в свои реализации?
Это хороший вопрос - много путаницы вокруг токенов и OAuth.
Во-первых, когда вы упоминаете OAuth, вы, вероятно, имеете в виду стандарт OAuth2. Это последняя версия протокола OAuth, и именно об этом говорит большинство людей, когда говорят «OAuth».
Протокол OAuth поддерживает несколько различных типов аутентификации и авторизации (если быть точным, то 4).
Во-вторых, протокол OAuth работает путем аутентификации пользователей с помощью токенов. Идея вот такая:
Вместо того, чтобы ваш пользователь отправлял свои фактические учетные данные на ваш сервер при каждом отдельном запросе (как в случае с базовой аутентификацией, когда пользователь отправляет свое имя пользователя / пароль на сервер для каждого запроса), с помощью OAuth вы сначала обмениваете свои учетные данные на «токен», а затем аутентифицировать пользователей на основе этого «токена».
Идея OAuth заключается в том, что, требуя от пользователей реже передавать свои конфиденциальные учетные данные по сети, может случиться меньше неприятностей. (Во всяком случае, это идея.)
Теперь, вот где в игру вступают токены: спецификация OAuth построена на концепции токенов, но НЕ УКАЗЫВАЕТ, ЧТО ТАКОЕ ТОКЕН.
В самом «общем» смысле токен - это просто строка, которая однозначно идентифицирует пользователя. Вот и все.
Люди поняли это и разработали новый стандарт для создания токенов, названный стандартом JSON Web Token. Этот стандарт в основном предоставляет набор правил для создания токенов особым образом, что делает токены более полезными для вас в целом.
JWT позволяют делать такие вещи, как:
Теперь по большей части: почти все в сообществе разработчиков согласились с тем, что если вы используете какой-либо тип OAuth, то используемые вами токены должны быть веб-токенами JSON.
==========
OK! Теперь, когда мы рассмотрели предысторию, позвольте мне ответить на ваш вопрос.
Выбор, который вы делаете выше, заключается в том, хотите ли вы включить полную спецификацию OAuth2 для аутентификации / авторизации (что довольно сложно) или вам просто нужна базовая «аутентификация токена».
Поскольку протокол OAuth предоставляет несколько различных способов аутентификации в соответствии со СТАНДАРТАМИ, он значительно усложняет большинство систем аутентификации.
Из-за этого многие фреймворки предлагают «упрощенную» версию потока предоставления пароля OAuth2, который, по сути, представляет собой простой метод, в котором:
Опять же: приведенный выше поток НЕ совместим с OAuth, но представляет собой немного более простую версию, в которой ВСЕ ЕЩЕ используются токены.
Главное здесь то, что токены (JWT) обычно полезны, и их НЕ НУЖНО связывать с потоком OAuth.
Я понимаю, что это стена текста, но, надеюсь, она ответит на ваш вопрос более подробно =)
Когда вы запрашиваете ресурс у защищенной веб-службы, вы можете предоставить токен аутентификации при вызове. Маркер действует как «секретный код» для доступа к ресурсу.
OAuth - это просто определенный тип метода аутентификации на основе токенов.
OAuth 2.0 - это спецификация для авторизации, но НЕ для аутентификации. RFC 6749, 3.1. Конечная точка авторизации прямо говорит следующее:
Конечная точка авторизации используется для взаимодействия с владельцем ресурса и получения разрешения на авторизацию. Сервер авторизации ДОЛЖЕН сначала проверить личность владельца ресурса. Способ, которым сервер авторизации аутентифицирует владельца ресурса (например, имя пользователя и пароль для входа, файлы cookie сеанса), выходит за рамки данной спецификации.
Используйте OAuth только в том случае, если вы хотите предоставить доступ к API сторонней службы. Даже когда вы используете OAuth, вам потребуется какая-то аутентификация (на основе токена или сеанса и т. Д.) Для аутентификации использования. OAuth не предназначен для аутентификации.
см. этот вопрос.
