API安全性：深入了解OAuth和OpenID Connect
最新回答
守护在此方
2026-06-18 09:40:50
OAuth 2 和 OpenID Connect 是保护API的基础。为了确保服务公开的数据安全，必须使用这些标准。它们涉及身份验证、授权和访问控制，是API安全框架的关键组成部分。在实施API保护时，它们与整体安全策略相结合，包括防火墙、网络、云基础架构和移动平台的安全措施。只有确保了对某人（或某事）的身份验证和授权，才能确定是否允许访问数据。
为了构建安全的API平台，必须基于经过同行评审并广泛采用的协议和标准。OAuth和OpenID Connect为实现这一目标提供了核心功能。接下来，我们将详细介绍这些协议。
OAuth是一个“协议协议”，为其他协议提供基础。它解决了许多API提供商的需求，包括用户与第三方应用共享凭据时，如何撤销对该应用的访问权限。使用OAuth，用户可以针对特定应用撤销权限，而无需中断其他允许代表用户执行操作的应用。这确保了更高的灵活性和安全性。
在OAuth中，有四个主要参与者：用户、客户端、资源所有者和授权服务器。作用域定义了权限或委派权限，是资源所有者希望客户端执行的操作。客户端可以请求权限，但用户仅授予权限或允许未请求的其他权限。作用域的内容、显示方式和与作用域相关的一切内容均未由OAuth规范定义，OpenID Connect会在稍后详细讨论。
在OAuth中，有两种类型的令牌：访问令牌和刷新令牌。访问令牌类似于网站登录会话，允许用户与服务进行交互，而无需再次登录。刷新令牌用于在访问令牌过期时重新获取新的会话。发行刷新令牌最终是一个信任决定，应确保客户端安全保护这些特权令牌。
在系统中传递令牌的方式有两种：通过值或引用。通过值传递时，令牌包含所有标识数据。通过引用传递时，令牌将数据的引用推送到客户端。在API网关中执行此转换。注意，当通过引用传递令牌时，应提供取消引用令牌的方法，通常通过调用授权服务器的非标准终结点。
令牌有不同配置文件：不记名令牌和HoK（持有者密钥）令牌。不记名令牌类似于现金，API接受令牌内容，但不验证令牌颁发者。HoK令牌类似于信用卡，需要额外凭据证明令牌持有者是真正的令牌颁发者。HoK令牌为API提供了额外的安全性，但在某些情况下可能带来风险。
在OAuth中，有不同类型的令牌，包括自定义令牌、JSON网络令牌（JWT）和SAML令牌。JWT是轻量级、紧凑的令牌，由标头、正文和签名组成，用于在HTTP标头和查询字符串中传递。JWT允许添加自定义声明，并且在实现互操作性时具有高度的灵活性。
OAuth定义了不同的交互类型，包括代码流、授权码流、密码流、客户端流和设备流。代码流是最常见的类型，客户端希望代表用户访问API，例如使用社交网络标识登录到站点。
OAuth的正确使用是为了委派，而不是其他任何目的。同意与授权之间存在细微差别，API是实际授权请求的API。资源所有者对客户的授权实际上是同意，但对于API来说还不够。
OpenID Connect建立在OAuth之上，约束了协议，将许多SHOULD变成了MUST。它为移动设备提供了现代联合规范，并定义了新型令牌：ID令牌。ID令牌允许客户端知道更多关于用户的信息，这在客户端需要自定义用户体验时非常有用。用户信息终结点和作用域是OpenID Connect的重要创新，允许客户端从OpenID Connect提供程序获取特定数据。
重要的是要了解，OpenID Connect与OpenID 2不向后兼容。从第2版更新到Connect需要工作，特别是如果API基础结构没有将联合身份验证与令牌颁发和身份验证分开。
综上所述，OAuth和OpenID Connect是构建安全API不可或缺的组件。它们提供了身份验证、授权和访问控制，确保了数据安全。了解这些协议的基础知识对于确保API安全至关重要，不仅适用于开发团队，还适用于产品管理、运营和项目管理。
热门标签
