OAuth术语已经困扰了我很长时间。有些人会认为OAuth是授权,还是认证呢?
如果我错了,请纠正我。我一直认为授权是允许某人访问资源的行为,但是OAuth似乎没有任何实现可以真正允许用户访问给定的资源。所有的OAuth实现都只涉及提供用户一个令牌(已签名且有时加密)。然后,在对后端服务端点进行每个调用时,传递此令牌以检查其有效性,这也不是OAuth的关注点。
OAuth是认证吗?(每篇文章都说它不是),我理解认证需要用户提供凭据,从而证明用户应该/不应该访问?
因此,似乎OAuth既不是授权也不是认证,因为这些必须由其他过程执行。那么它到底是什么呢?它是一个通信令牌的过程吗?还是一个真正没有特定含义的虚词?
在这个主题上提问很难不让人听起来像是神秘和迷信的(鬼怪之类的),因此我希望回答这个问题也不会是一件简单的事情。进入需自担风险。