如何验证资源服务器的OAuth 2.0访问令牌?

时间:2012-09-06 08:31:04

标签: oauth oauth-2.0

当客户端要求资源服务器获取具有OAuth 2.0访问令牌的受保护资源时,此服务器如何验证令牌? OAuth 2.0刷新令牌协议?

6 个答案:

答案 0 :(得分:111)

Google方式

Google Oauth2 Token Validation

请求:

https://www.googleapis.com/oauth2/v1/tokeninfo?access_token=1/fFBGRNJru1FQd44AzqT3Zg

应对:

{
  "audience":"8819981768.apps.googleusercontent.com",
  "user_id":"123456789",
  "scope":"https://www.googleapis.com/auth/userinfo.profile https://www.googleapis.com/auth/userinfo.email",
  "expires_in":436
} 

Microsoft方式

Microsoft - Oauth2 check an authorization

Github方式

Github - Oauth2 check an authorization

请求:

GET /applications/:client_id/tokens/:access_token

应对:

{
  "id": 1,
  "url": "https://api.github.com/authorizations/1",
  "scopes": [
    "public_repo"
  ],
  "token": "abc123",
  "app": {
    "url": "http://my-github-app.com",
    "name": "my github app",
    "client_id": "abcde12345fghij67890"
  },
  "note": "optional note",
  "note_url": "http://optional/note/url",
  "updated_at": "2011-09-06T20:39:23Z",
  "created_at": "2011-09-06T17:26:27Z",
  "user": {
    "login": "octocat",
    "id": 1,
    "avatar_url": "https://github.com/images/error/octocat_happy.gif",
    "gravatar_id": "somehexcode",
    "url": "https://api.github.com/users/octocat"
  }
}

亚马逊方式

Login With Amazon - Developer Guide (Dec. 2015, page 21)

请求:

https://api.amazon.com/auth/O2/tokeninfo?access_token=Atza|IQEBLjAsAhRmHjNgHpi0U-Dme37rR6CuUpSR...

回应:

HTTP/l.l 200 OK
Date: Fri, 3l May 20l3 23:22:l0 GMT 
x-amzn-RequestId: eb5be423-ca48-lle2-84ad-5775f45l4b09 
Content-Type: application/json 
Content-Length: 247 

{ 
  "iss":"https://www.amazon.com", 
  "user_id": "amznl.account.K2LI23KL2LK2", 
  "aud": "amznl.oa2-client.ASFWDFBRN", 
  "app_id": "amznl.application.436457DFHDH", 
  "exp": 3597, 
  "iat": l3ll280970
}

答案 1 :(得分:83)

2015年11月更新 - 按照下面的Hans Z. - 现在确实定义为RFC 7662的一部分。

OAuth 2.0规范没有明确定义资源服务器(RS)和授权服务器(AS)之间用于访问令牌(AT)验证的交互。它实际上取决于AS的令牌格式/策略 - 一些令牌是自包含的(如JSON Web Tokens),而其他令牌可能类似于会话cookie,因为它们只是在内存中将信息引回AS。

OAuth工作组中有some discussion关于创建RS与AS进行通信以进行AT验证的标准方法。我的公司(Ping Identity)为我们的商业OAuth AS(PingFederate)提出了一种这样的方法:https://documentation.pingidentity.com/pingfederate/pf/index.shtml#concept_grantTypeParameters.html#concept_grantTypeParameters(参见访问令牌验证授权类型)。它使用基于REST的交互,这与OAuth 2非常互补。

-

答案 2 :(得分:45)

@Scott T.答案的更新:资源服务器和授权服务器之间用于令牌验证的接口在2015年10月的IETF RFC 7662中标准化,请参阅:https://tools.ietf.org/html/rfc7662。示例验证调用如下所示:

POST /introspect HTTP/1.1
Host: server.example.com
Accept: application/json
Content-Type: application/x-www-form-urlencoded
Authorization: Bearer 23410913-abewfq.123483

token=2YotnFZFEjr1zCsicMWpAA

和示例回复:

HTTP/1.1 200 OK
Content-Type: application/json

{
  "active": true,
  "client_id": "l238j323ds-23ij4",
  "username": "jdoe",
  "scope": "read write dolphin",
  "sub": "Z5O3upPC88QrAjx00dis",
  "aud": "https://protected.example.net/resource",
  "iss": "https://server.example.com/",
  "exp": 1419356238,
  "iat": 1419350238,
  "extension_field": "twenty-seven"
}

当然,供应商和产品的采用必须随着时间的推移而发生。

答案 3 :(得分:7)

OAuth v2规范表明:

  

访问令牌属性和用于访问受保护资源的方法超出了本规范的范围,并由配套规范定义。

我的授权服务器有一个Web服务(SOAP)端点,允许资源服务器知道access_token是否有效。

答案 4 :(得分:7)

OAuth 2.0规范未定义该部分。但可能有几种选择:

  1. 当资源服务器在Authz Header中获取令牌时,它会调用Authz服务器上的validate / introspect API来验证令牌。在这里,Authz服务器可以通过使用DB Store或验证签名和某些属性来验证它。作为响应的一部分,它解码令牌并发送令牌的实际数据以及剩余的到期时间。

  2. Authz Server可以使用私钥对令牌进行加密/签名,然后可以将publickey / cert提供给Resource Server。当资源服务器获取令牌时,它会解密/验证签名以验证令牌。获取内容并处理令牌。然后它可以提供访问权限或拒绝。

答案 5 :(得分:0)

更新了 2021 年的答案

通常不建议您自行滚动 OAuth 2 / OIDC 实现的任何部分,尤其是现在令牌自省是 part of the standard。就像尝试推出自己的加密库一样,使用如此复杂的规范很容易犯严重错误。

Here's a list 采用其他语言的实现 OAuth 2 的推荐库。Here's another 已通过 OpenID 基金会认证的库;其中许多库还实现了 OAuth 2。

如果您在 .NET 中并使用 IdentityServer 库(版本 2.2 及更高版本),则 introspect endpoint 完全可以实现这一点。它作为 discovery document(也称为 standard)的一部分发布,并且是资源服务器可以验证访问令牌的端点。

如果您已经走到这一步,但仍然真的想要自己动手,请从 how the bigger libraries have done it 获取一些提示。