OAuth 2.0 速查
共 24 条 OAuth 2.0 角色与流程，涵盖四个角色、授权码流程、令牌与请求、常见授权类型、调试。 支持搜索与分类筛选，点击即可复制。
四个角色
授权与资源分离。
| 命令 | 说明 |
|---|---|
| 资源拥有者（用户本人） | |
| 请求访问的第三方应用 | |
| 授权服务器（发放令牌） | |
| 资源服务器（校验令牌并提供数据） | |
| 申请的权限范围 |
授权码流程
最常用、最安全的流程。
| 命令 | 说明 |
|---|---|
| 第一步：引导用户授权，返回 code | |
| 第二步：用 code 换 token | |
| PKCE：公共客户端必加，防授权码拦截 | |
| 防 CSRF，回调时校验一致 | |
| 用刷新令牌换取新的 access_token |
令牌与请求
访问受保护资源。
| 命令 | 说明 |
|---|---|
| 访问令牌（有效期短） | |
| 刷新令牌（有效期长，只发给可信客户端） | |
| 有效期秒数 / 类型（通常 Bearer） | |
| 调用资源服务器时带令牌 | |
| 机器对机器，无需用户 |
常见授权类型
按场景选择。
| 命令 | 说明 |
|---|---|
| 网页应用、可安全保存密钥的客户端 | |
| 移动端 / SPA（公共客户端） | |
| 服务间调用 | |
| 无浏览器设备（电视、CLI） | |
| 已不推荐使用 |
调试
抓包与校验。
| 命令 | 说明 |
|---|---|
| 命令行取令牌 | |
| 发现 OIDC 各端点与能力 | |
| 查看令牌内容或校验有效性 | |
| 演练授权流程 |
使用说明
OAuth 2.0 速查：四个角色、授权码流程、令牌与请求、常见授权类型、调试；支持搜索与分类筛选，点击即可复制。
- 按用途点分类：四个角色、授权码流程、令牌与请求、常见授权类型、调试。
- 点「命令」列复制到代码或命令行。
- 网页与移动端首选「授权码 + PKCE」，公共客户端不要存 secret。
- 授权请求带上随机 state，回调时校验，防 CSRF。
常见问题
- 为什么弃用 implicit 和 password？
- 前者令牌直接暴露在前端地址栏、后者要交出密码，安全性差；现在推荐授权码 + PKCE 与设备码流程。
- access_token 和 refresh_token 各管什么？
- access_token 短期访问资源、过期快；refresh_token 用于换取新的 access_token，长期有效、要妥善保存。
- 需要联网吗？
- 速查内容本地可用；演练授权流程需联网。