github的oauth登陆的基本流程，oauth2.0原理解析

安宇雨 - 随手采集
2018-10-29 13:22:02
随手采集
0000-未整理-等待研究

如果本文对您有帮助，或者节约了您的时间，欢迎打赏瓶饮料，建立下友谊关系。
本博客不欢迎：各种镜像采集行为。请尊重原创文章内容，转载请保留链接信息。

PHP高手欢聚QQ群：218127186 逗逼虎开心聊QQ群：175454274

github登陆的事情，苏南大叔已经写过一篇文章了。如何申请appid和secret请参见这里，https://newsn.net/say/oauth-login-github-apply.html 。拿到了client_id和client_secret之后，我们就可以开工了。但是，从哪里着手呢？其实github的这个登陆，肯定是遵守现在最流行的oauth协议的。oauth协议也有几个分支，这里我们只讨论：使用范围最广的oauth2.0的情况。

github的oauth登陆的基本流程，oauth2.0原理解析 - oauth2

逗逼虎开心聊QQ群：175454274

github的oauth登陆的基本流程，oauth2.0原理解析（图3-1）

官方对这个事情的描述，见这里：https://developer.github.com/apps/building-integrations/setting-up-and-registering-oauth-apps/about-authorization-options-for-oauth-apps/ 。苏南大叔用大家能够接受的语言，描述一下这个oauth过程。其实过程不难，就是和传统的思维不是很一样。所以理解上有些偏差。

一，用户在苏南大叔的博客上，发起登陆请求

这个时候，请求的是我这边的服务器地址。该地址，开始准备了三个参数，分别是client_id/scope/state。

client_id就是从github上面申请到的那个appid。
scope就是说你的应用会请求用户的那些数据，这个是会在登陆页面上展示的。
state是个随机数，用于数据验证，所以，这个值越随机越好。

服务器准备好这些参数后，就将用户的请求导向到了github的登陆验证页面，并带上三个参数。

github的oauth登陆的基本流程，oauth2.0原理解析 - oauth_login

github的oauth登陆的基本流程，oauth2.0原理解析（图3-2）

二，github服务器拿到`client_id`和`scope`之后，会对授权进行验证

如果当前用户没有登陆，那么显示登陆界面（登陆完成后，会回到授权检测逻辑）。如果登陆了，就检测client_id和scope，是否已经授权。授权通过的话，就进入第三步。如果没有通过，就显示对应的授权表单。

github的oauth登陆的基本流程，oauth2.0原理解析 - oauth_login_2

github的oauth登陆的基本流程，oauth2.0原理解析（图3-3）

三，`github`服务器，授权检测通过，页面跳转

如果检测通过，github服务器会将服务器生成的一个code，以及第一步中的state传递回来。传递的途径是用户的浏览器，就是说，在用户的浏览器中，github服务器进行了页面跳转。跳转到了我们在github上设置好的 callback地址。

四，服务器上的`callback`地址开始工作

callback地址，接收github服务器返回的code和state参数。一方面，state可以用于自身检验数据合法性，毕竟是自己服务器生成并传递的值。另外一方面，state也将参与后续的服务器之间的通信。所以也是个凭证。所以，这个state值绝对不可以是个固定的值，必须是个随机数。你懂的。

接收到的code和state（双方已知），再加上，双方服务器都已知的早期设定值client_id/client_secret/redirect_uri。这五个要素组合到一起，用于到github上面请求access_token。

五，`github`服务器处理`access_token`请求

github的服务器，接收到：苏南大叔的服务器端的access_token请求后，会对相关的数据进行检测。通过code和state来检测对应要请求的github用户，是否真正授权了。如果是，则返回access_token/scope/token_type这三个值给苏南大叔的服务器。

六，服务器处理access_token

苏南大叔的服务器拿到access_token/scope/token_type后，仅仅处理了access_token，另外的两个值暂时没用。然后用这个access_token去和github的服务器做最后的一次交互。（看到“最后”这个词，是不是松了一口气....）去拿用户的基本资料。

七，`github`服务器处理用户资料数据请求

凭借自己颁发的access_token，来返回对应用户的授权过的数据。

八，服务器处理用户资料

苏南大叔的服务器拿到github的用户资料后，就剩下对用户进行绑定的过程了。当前用户也许已经是网站的会员了，或者也许没有注册过。（苏南大叔的博客是没有注册途径的，所以，不可能有人已经是会员）。这个时候，会员绑定的逻辑就是大家自己决定的了。绑定成功之后，调用自己的方法，设置好当前用户的登陆状态，就可以了。