security - OAuth 2.0——有什么新功能？

Question

关闭。这个问题需要更多 focused .它目前不接受答案。












想改进这个问题？更新问题，使其仅关注一个问题 editing this post .

2年前关闭。




Improve this question




有人可以列举 OAuth 2.0 和以前版本之间的主要区别吗？或者给我指出好的文档。 (不是完整的 OAuth 2.0 Protocol draft ；我没有时间阅读它。)

Answer 1

1.0 和 2.0 之间的主要区别在于规模。其他一切都不那么重要。 2.0 是针对 Google/Facebook/跨国电信规模从头开始设计的，通过优化每个步骤和每个凭证。

在 OAuth 1.0 中，每个请求都需要两个 secret 和一个复杂的请求规范化来生成签名。它有一个损坏的 nonce/timestamp 逻辑，没有人能正确实现(业内最好的 secret 是 Twitter 可能是唯一一个检查 nonce 值的提供商，它以 15 分钟的时钟偏差来检查时间戳)。

OAuth 2.0 在桌面和移动客户端、注册要求和协议(protocol)限制方面更加诚实。由于更大的需求列表和称为授权授予的新抽象层，规范有点复杂。