OAuth和握手混淆

Question

我是OAuth的新手，并且难以将工作过程背后的过程可视化。

据我所知，当我尝试通过OAuth验证凭据时，我向登录服务器发送了一个请求，该请求接管并让用户在网站上登录。如果凭据有效，则会访问OAuth请求的回调URL，并将令牌附加到回调URL。该令牌必须与所有未来的HTTP请求一起传递给服务器，并用作用户证书的验证。

我困惑的地方是，如何使这个过程适应没有服务器的桌面应用程序？我如何使用回调URL，以及如何在桌面上运行.NET应用程序时如何检索令牌？

谢谢！

Answer 1

这取决于您想要支持的服务提供商。

谷歌对如何使用OAuth 2.0“安装的应用程序”这里一个很好的说明： https://developers.google.com/accounts/docs/OAuth2InstalledApp

在一般情况下，有几个不同的策略：

1. 执行OAuth的流程，你如上所述 - 使用标准URL处理程序弹出浏览器，但要求用户将授权码从浏览器复制/粘贴回您的应用程序。这需要提供商支持urn：ietf：wg：oauth：2.0：oob的redirect_url。
2. 打开浏览器窗口，并自动从浏览器的标题窗口中捕获服务器返回的授权码，而不需要复制/粘贴。这也需要支持OOB redirect_url。
3. 在您的应用程序中将OAuth请求作为嵌入式浏览器窗口执行，并捕获＃2中的授权代码。

如果您的OAuth 2.0提供程序不支持OOB，也可以重定向到您自己的Web服务器来完成类似的任务。

最大的问题是你是否正在进行身份验证（获取用户身份）或授权（通过Web API访问用户数据）。如果您尝试对用户进行身份验证，则需要一些您可信任的服务器端逻辑来传递授权码或访问令牌进行验证。