oauth中的请求和访问令牌

Question

有人可以解释为什么在用户批准后请求令牌必须交换访问令牌吗？一旦用户批准访问，为什么不假装请求令牌是访问令牌？

Answer 1

简答：验证应用程序。

参见YouTube's OAuth Process Flow Diagram

OAuth是一个三足式协议。在这种特殊情况下，YouTube需要验证两个不同的实体 - a）用户和b）需要应用的应用程序。

现在，在用户授予访问权限（图中的步骤10）后，YouTube知道“用户x想要授予应用程序Y访问YouTube的权限”。但它尚未验证应用程序Y.流氓应用程序可以执行所有步骤直到步骤10假装成有效的已知应用程序 - 并且必须防止此类行为。

在最后3个步骤中，应用程序通过签署请求向YouTube验证自己。完成此操作后，YouTube可以安全地向应用程序提供访问令牌。

Answer 2

oauth系统检查请求令牌并检查是否允许该用户请求访问。然后它会发出一个访问令牌（有效期为一段时间）并对其进行数字签名。

签名很重要，因为这表明系统同意请求者被允许访问他所请求的内容。

看看：http://hueniverse.com/oauth/为易于吞咽指南如何整个事情的工作。