Que sont les jetons et les types de jetons dans OAuth 2?

Question

Je suis en train de mettre en œuvre les Ressources Propriétaire Et le Mot de passe des informations d'Identification de flux de OAuth 2 spec. Je vais avoir de la difficulté à comprendre l' token_type valeur qui est envoyée de retour avec une réponse valide. Dans la spec, tous les exemples montrent "token_type":"example" , mais dit qu'il devrait être

token_type NÉCESSAIRE. Le type de jeton émis comme décrit dans La Section 7.1. La valeur est sensible à la casse.

Quelqu'un peut-il expliquer cela à moi?

Answer 1

token_type est un paramètre dans le Jeton d'Accès de générer appeler le serveur d'Autorisation qui, pour l'essentiel représentent que comment une access_token sera généré et également présentés pour l'accès aux ressources des appels. Vous fournir token_type dans le jeton d'accès génération appel vers le serveur d'autorisation.

Si vous donnez Bearer ( par Défaut sur la plupart de la mise en œuvre), en access_token est généré et l'envoi vous. Simple compréhension du Porteur peut être, qui apporte le porteur du jeton de donner l'accès. Un jeton valide et aucune question posée. D'autre part, si vous choisissez Mac et sign_type(par défaut hmac-sha-1 sur la plupart de la mise en œuvre), le jeton d'accès est généré et gardé comme un secret dans le Gestionnaire de Clés comme un attribut, et crypté secret est renvoyé à l' access_token

oui, vous pouvez utiliser votre propre mise en œuvre de l' token_type, mais cela n'aurait pas beaucoup de sens tant que les développeurs devront suivre votre processus plutôt que les implémentations du protocole OAuth.

Answer 2

N'importe qui peut définir "token_type" comme OAuth 2.0 extension, mais actuellement "au porteur" type de jeton est l'un des plus communs.

http://tools.ietf.org/html/draft-ietf-oauth-v2-bearer-04

En gros qu'est ce que Facebook est à l'aide. Leur mise en œuvre est un peu en retard à partir de la dernière spec.

ps.

Si vous voulez être plus sécurisé que Facebook (ou sécurisé comme OAuth 1.0 qui a de la "signature"), vous pouvez utiliser "mac" type de jeton.

Cependant, il sera difficile de chemin depuis le mac spec est toujours en train de changer rapidement.

http://tools.ietf.org/html/draft-ietf-oauth-v2-http-mac-00