Apifox 帮助文档
帮助文档常见问题Apifox 官网私有化部署
开发者中心
  • 开放 API
  • 更新日志
  • Road Map
  • Apifox Markdown
下载
  • 下载 Apifox
  • 下载 IDEA 插件
  • 下载浏览器扩展
  • Apifox Web 版
帮助文档常见问题Apifox 官网私有化部署
开发者中心
  • 开放 API
  • 更新日志
  • Road Map
  • Apifox Markdown
下载
  • 下载 Apifox
  • 下载 IDEA 插件
  • 下载浏览器扩展
  • Apifox Web 版
  1. 身份验证 & Auth 鉴权指南
  • 帮助中心
  • 更新日志
  • 入门
    • 产品介绍
    • 联系我们
    • 私有化部署
  • 开始使用
    • 下载 Apifox
    • 注册与登录
    • 页面布局
    • 基本概念
    • 快速上手
      • 概述
      • 新建接口
      • 发送接口请求
      • 快捷请求
      • 添加断言
      • 新建测试场景
      • 分享 API 文档
      • 了解更多
    • 基础知识
      • 接口基本信息
        • 请求 URL 与方法
        • 请求参数与请求体
        • 请求头
        • 请求参数编码解码
        • HTTP/2
      • 认证与授权
        • 概述
        • 支持的授权类型
        • Digest Auth
        • OAuth 1.0
        • OAuth 2.0
        • Hawk Authentication
        • Kerberos
        • NTLM
        • Akamai EdgeGrid
        • CA 和客户端证书
      • 响应与 Cookie
        • 概述
        • API 响应
        • 创建和发送 Cookie
        • 实际请求
        • 提取响应示例
      • 请求代理
        • 网页端中的请求代理
        • 分享文档中的请求代理
        • 客户端中的请求代理
      • API Hub
        • API Hub
    • 导入导出数据
      • 概述
      • 手动导入
      • 定时导入
      • 导入设置
      • 导出数据
      • 其它方式导入
        • 导入 OpenAPI/Swagger
        • 导入 Postman
        • 导入 Apipost
        • 导入 Eolink
        • 导入 cURL
        • 导入 Markdown
        • 导入 Insomnia
        • 导入 apiDoc
        • 导入 .har 文件
        • 导入 knife4j
        • 导入 NEI
        • 导入小幺鸡(docway)
        • 导入 Apizza
        • 导入 WSDL
  • 设计 API
    • 概述
    • 新建 API 项目
    • 接口基础知识
    • 请求体多示例配置
    • 响应组件
    • 常用字段
    • 全局参数
    • 历史记录
    • 批量管理
    • 数据模型
      • 概述
      • 新建数据模型
      • 通过 JSON 等生成
      • 高级数据类型
      • 构建数据模型
    • 鉴权组件
      • 概述
      • 创建鉴权组件
      • 使用鉴权组件
      • 在线文档中的鉴权组件
    • 高级功能
      • 接口字段
      • 接口状态
      • 关联测试场景
      • 参数列表外观
      • 接口唯一标识
  • 开发和调试 API
    • 概述
    • 生成请求
    • 发送请求
    • 请求历史
    • 接口用例
    • 动态值
    • 校验响应
    • 文档模式/调试模式
    • 生成代码
    • 环境和变量
      • 概述
      • 全局/环境/临时变量
      • 环境与服务
      • Vault Secrets(密钥库)
        • 功能简介
    • 前后置操作&脚本
      • 概述
      • 断言
      • 提取变量
      • 等待时间
      • 数据库操作
        • 概述
        • MongoDB
        • Redis
        • Oracle
      • 使用脚本
        • 概述
        • 前置脚本
        • 后置脚本
        • 公共脚本
        • pm 脚本 API
        • 使用 JS 类库
        • 响应数据可视化
        • 调用外部程序
      • 脚本示例
        • 断言示例
        • 脚本使用变量
        • 脚本读取/修改接口请求信息
      • 常见问题
        • 如何获取动态参数的真实值并加密?
        • 脚本运行后,提取的数字(bigint)精度丢失应该如何处理?
    • API 调试
      • GraphQL 调试
      • WebSocket 调试
      • Socket.IO 调试
      • SSE 调试
      • SOAP/WebService
      • gRPC 调试
      • 使用请求代理调试
      • Dubbo 调试
        • 新建 Dubbo 接口
        • 调试 Dubbo 接口
        • Dubbo 接口文档
      • TCP(Socket)
        • Socket 接口功能简介
        • 报文数据处理器
  • Mock 数据
    • 概述
    • 智能 Mock
    • 自定义 Mock
    • Mock 优先级
    • Mock 脚本
    • 云端 Mock
    • 自托管 Runner Mock
  • 自动化测试
    • 概述
    • 编排测试场景
      • 新建测试场景
      • 测试步骤间传递数据
      • 测试流程控制条件
      • 从接口/用例同步数据
      • 跨项目导入接口/用例
      • 导出测试场景数据
    • 运行测试场景
      • 运行测试场景
      • 批量运行测试场景
      • 数据驱动测试
      • 定时任务
      • 管理其它项目接口的运行环境
    • 测试报告
      • 测试报告
    • API 测试
      • 集成测试
      • 性能测试
      • 端到端测试
      • 回归测试
    • Apifox CLI
      • 概述
      • 安装和运行 CLI
      • CLI 命令选项
    • CI/CD
      • 概述
      • 与 Jenkins 集成
      • 与 Gitlab 集成
      • 与 Github Actions 集成
      • 与其它更多 CI/CD 平台集成
  • 发布 API 文档
    • 概述
    • 快捷分享
    • 查看 API 文档
    • 发布文档站
    • 页面布局设置
    • 自定义域名
    • AI 相关特性
    • 高级设置
      • 文档站搜索设置
      • 跨域代理
      • 文档站接入 Google Analytics
      • SEO 设置
      • 文档左侧目录设置
      • 文档可见性设置
      • 在线 URL 链接规范
    • API 版本
      • 创建 API 版本
      • 发布 API 版本
      • 快捷分享 API 版本
      • 功能简介
  • 迭代分支
    • 功能简介
    • 新建迭代分支
    • 在迭代分支中改动 API
    • 在迭代分支中测试 API
    • 合并迭代分支
    • 管理迭代分支
  • 管理中心
    • 入驻清单
      • 了解基本概念
      • 团队入驻
    • 管理团队
      • 团队基本操作
      • 团队成员管理
      • 成员角色与权限设置
      • 团队资源
        • 通用 Runner
        • 请求代理 Agent
        • 团队变量
      • 实时协作
        • 团队协作
    • 管理项目
      • 项目基本操作
      • 项目成员管理
      • 通知设置
        • 功能简介
        • 通知对象
        • 通知事件
      • 项目资源
        • 数据库连接
    • 管理组织
      • 单点登录(SSO)
        • 功能简介
        • 为组织配置单点登录
        • 管理用户账号
        • 将组映射到团队
        • Microsoft Entra ID
      • SCIM 用户管理
        • 功能简介
        • Microsoft Entra ID
      • 组织资源
        • 自托管 Runner
  • IDEA 插件
    • 快速上手
    • 生成接口文档
    • 生成数据模型
    • 配置
      • 全局配置
      • 项目内配置
      • 可配置规则
      • 脚本工具
      • Groovy 本地扩展
    • 进阶配置
      • 注释规范说明
      • 框架支持
    • 常见问题
      • 常见问题
  • 浏览器扩展
    • Chrome
    • Microsoft Edge
  • Apifox MCP Server
    • 概述
    • 通过 MCP 使用 Apifox 项目内的 API 文档
    • 通过 MCP 使用公开发布的 API 文档
    • 通过 MCP 使用 OpenAPI/Swagger文档
  • 最佳实践
    • 概述
    • 接口之间如何传递数据
    • 登录态(Auth)如何处理
    • 接口签名如何处理
    • 如何加密/解密接口数据
    • Jenkins 定时触发任务
    • 如何计算 AI 问答成本
    • 与其他成员共用数据库连接配置
    • 通过 CLI 运行包含云端数据库连接配置的测试场景
    • 通过 Runner 运行包含云端数据库连接配置的测试场景
  • 账号&应用设置
    • 账号设置
    • 语言设置
    • 网络代理
    • 快捷键
    • 数据备份与恢复
    • 更新 Apifox
    • API 访问令牌
  • 身份验证 & Auth 鉴权指南
    • 什么是 API Key
    • 什么是 Bearer Token
    • 什么是 JWT
    • 什么是 Basic Auth
    • 什么是 Digest Auth
    • 什么是 OAuth 1.0
    • 什么是 OAuth 2.0
      • 什么是 OAuth 2.0
      • 授权码授权类型
      • 授权码授权类型,带有 PKCE
      • 隐式授权类型
      • 密码凭证授权类型
      • 客户端凭证授权类型
  • 服务与隐私协议
    • 服务协议
    • 隐私协议
    • 服务等级协议
  • 参考资料
    • API 设计优先理念
    • JSON Schema 介绍
    • JSONPath 介绍
    • XPath 介绍
    • Apifox Markdown 语法
    • CSV 格式规范
    • 正则表达式
    • 安装 Java 环境
    • Runner 运行环境
    • 常见编程语言对应的数据类型
    • Socket 粘包和分包问题
    • 词汇表
    • 目录链接汇总
    • Apifox Swagger 扩展
      • 概述
      • x-apifox-folder
      • x-apifox-status
      • x-apifox-name
      • x-apifox-maintainer
    • Apifox JSON Schema 扩展
      • 概述
      • x-apifox-mock
      • x-apifox-orders
      • x-apifox-enum
    • 动态值表达式
  • 常见问题
  1. 身份验证 & Auth 鉴权指南

什么是 OAuth 1.0

OAuth 1.0 是一种开放授权协议,允许用户授予第三方应用程序访问其受保护资源的权限,而无需共享其密码或其他敏感信息。它是一种授权机制,用于用户在不泄露其密码的情况下,让第三方应用程序访问其在线账户。OAuth 1.0 的规范在 RFC 5849 中定义。

OAuth 1.0 术语#

OAuth 1.0 保障安全性的关键在于每一步请求都需要客户端进行签名,以确保请求的合法性。请求通常包括消费者的密钥、令牌密钥(如果有)、时间戳、随机数、请求方法和请求 URL 等,通过特定算法生成一个签名。这样,即使请求被截获,没有相应的密钥信息也很难被伪造。根据 RFC 5849 规范,一般 OAuth 1.0 授权时涉及到的字段主要包括:
1.
消费者 Key (Consumer Key): 标识 OAuth 消费者的唯一标识符。
2.
消费者密钥 (Consumer Secret): 用于验证 OAuth 消费者身份的密钥。
3.
令牌 (OAuth Token): 用于表示用户和 OAuth 服务提供者之间的授权关系的令牌。
4.
令牌密钥 (Token Secret): 与令牌相关联的密钥,用于验证令牌的有效性。
5.
签名方法 (Signature Method): 用于生成签名的方法,例如 HMAC-SHA1。
6.
签名 (Signature): 使用 OAuth 令牌密钥对请求参数进行签名,以确保请求的完整性和安全性。
7.
时间戳 (Timestamp): 用于防止重放攻击的时间戳。
8.
随机字符串 (Nonce): 用于防止重放攻击的随机字符串。
9.
版本 (OAuth Version): OAuth 协议的版本号,通常为 "1.0"。
10.
回调地址(Callback URL): 在授权过程中,用于将用户重定向到你的应用程序,以进行授权成功后的处理。
11.
Verifier(验证器): 用于在 OAuth 授权流程中交换访问令牌时验证用户身份。
12.
Realm(域): 用于指定受保护资源所属的范围或领域,它提供了关于受保护资源所在位置或所属身份域的信息。

OAuth 1.0 的授权流程#

OAuth 1.0 协议定义了几种角色:
1.
资源拥有者(Resource Owner):通常是指服务的使用者,即最终用户。
2.
客户端(Client):想要访问资源拥有者信息的第三方应用。
3.
资源服务器(Resource Server):存放用户资源的服务器。
4.
授权服务器(Authorization Server):在 OAuth 1.0 中,授权服务器与资源服务器可以是同一个服务器,负责处理与授权相关的所有请求。
其授权流程大概分为以下几个步骤:
1.
临时凭证获取(Temporary Credentials Acquisition):
客户端(第三方应用)向授权服务器发起请求,要求一个临时凭证(类似于未来要换取访问令牌的“预授权”令牌)。
通常需要提供消费者密钥(Consumer Key,向服务提供商注册时获得)来验证客户端的身份。
授权服务器回应一个未经授权的临时凭证。
2.
资源拥有者授权(Resource Owner Authorization):
客户端将资源拥有者引导到授权服务器的登陆和授权页面。
资源拥有者同意授予权限后,授权服务器会将资源拥有者重定向回客户端,提供一个认证标记。
3.
令牌凭证交换(Token Credentials Exchange):
客户端使用从授权服务器获得的认证标记和临时凭证回到授权服务器,请求换取一个访问令牌(Token Credentials)。
如果验证成功,授权服务器会发放访问令牌和访问令牌密钥,客户端可以使用这些信息访问资源服务器上受保护的资源。
以下是 OAuth 1.0 授权流程的简要示意图:

OAuth 1.0 的授权示例#

假设有一个应用程序希望通过 OAuth 1.0 协议来获取用户的资源,而服务提供者(Service Provider)是一个虚构的社交媒体平台,以下步骤是 OAuth 1.0 授权的基本流程。

1.注册应用程序#

首先,应用程序需要在服务提供者的开发者平台上注册,获取到 Consumer Key 和 Consumer Secret。
涉及的参数:
Consumer Key: 应用程序的唯一标识符。
Consumer Secret: 用于验证应用程序身份的密钥。
示例:
Consumer Key: abc123
Consumer Secret: xyz789

2.获取临时令牌(Request Token)#

应用程序向服务提供者发送请求,请求获取临时令牌。这个请求中包含了消费者的凭证(Consumer Key)以及签名等信息。
涉及的请求参数:
oauth_consumer_key: abc123
oauth_signature_method: HMAC-SHA1
oauth_timestamp: 时间戳
oauth_nonce: 随机字符串
oauth_signature: 使用 Consumer Secret 生成的签名
示例请求:
示例响应:

3.重定向用户进行授权#

应用程序将用户重定向到服务提供者的授权页面,要求用户授权访问其资源。在重定向的 URL 中包含了临时令牌以及回调地址。
涉及的请求参数:
oauth_token: TEMP_TOKEN
oauth_callback: YOUR_CALLBACK_URL
示例 URL:

4.用户授权#

用户在服务提供者的授权页面上登录并确认授权请求。

5.获取访问令牌(Access Token)#

用户授权完成后,服务提供者将用户重定向回应用程序提供的回调地址,并携带授权后的临时令牌和 Verifier。
涉及的参数:
oauth_token: TEMP_TOKEN
oauth_verifier: VERIFIER
示例回调 URL:

6.交换临时令牌和 Verifier 获取访问令牌#

应用程序使用之前获取的临时令牌和 Verifier,结合 Consumer Secret 发送请求,向服务提供者请求获取访问令牌。
涉及的请求参数:
oauth_consumer_key: abc123
oauth_token: TEMP_TOKEN
oauth_verifier: VERIFIER
oauth_signature_method: HMAC-SHA1
oauth_timestamp: 时间戳
oauth_nonce: 随机字符串
oauth_signature: 使用 Consumer Secret 和 TEMP_TOKEN_SECRET 生成的签名
示例请求:
示例响应:

7.访问受保护资源#

现在,应用程序可以使用获取到的访问令牌来访问用户的受保护资源。
修改于 2024-12-24 10:05:50
上一页
什么是 Digest Auth
下一页
什么是 OAuth 2.0
Built with