Apifox 帮助文档
帮助文档常见问题Apifox 官网私有化部署
开发者中心
  • 开放 API
  • 更新日志
  • Road Map
  • Apifox Markdown
下载
  • 下载 Apifox
  • 下载 IDEA 插件
  • 下载浏览器扩展
  • Apifox Web 版
帮助文档常见问题Apifox 官网私有化部署
开发者中心
  • 开放 API
  • 更新日志
  • Road Map
  • Apifox Markdown
下载
  • 下载 Apifox
  • 下载 IDEA 插件
  • 下载浏览器扩展
  • Apifox Web 版
  1. 什么是 OAuth 2.0
  • 帮助中心
  • 更新日志
  • 入门
    • 产品介绍
    • 联系我们
    • 私有化部署
  • 开始使用
    • 下载 Apifox
    • 注册与登录
    • 页面布局
    • 基本概念
    • 快速上手
      • 概述
      • 新建接口
      • 发送接口请求
      • 快捷请求
      • 添加断言
      • 新建测试场景
      • 分享 API 文档
      • 了解更多
    • 基础知识
      • 接口基本信息
        • 请求 URL 与方法
        • 请求参数与请求体
        • 请求头
        • 请求参数编码解码
        • HTTP/2
      • 认证与授权
        • 概述
        • 支持的授权类型
        • Digest Auth
        • OAuth 1.0
        • OAuth 2.0
        • Hawk Authentication
        • Kerberos
        • NTLM
        • Akamai EdgeGrid
        • CA 和客户端证书
      • 响应与 Cookie
        • 概述
        • API 响应
        • 创建和发送 Cookie
        • 实际请求
        • 提取响应示例
      • 请求代理
        • 网页端中的请求代理
        • 分享文档中的请求代理
        • 客户端中的请求代理
      • API Hub
        • API Hub
    • 导入导出数据
      • 概述
      • 手动导入
      • 定时导入
      • 导入设置
      • 导出数据
      • 其它方式导入
        • 导入 OpenAPI/Swagger
        • 导入 Postman
        • 导入 Apipost
        • 导入 Eolink
        • 导入 cURL
        • 导入 Markdown
        • 导入 Insomnia
        • 导入 apiDoc
        • 导入 .har 文件
        • 导入 knife4j
        • 导入 NEI
        • 导入小幺鸡(docway)
        • 导入 Apizza
        • 导入 WSDL
  • 设计 API
    • 概述
    • 新建 API 项目
    • 接口基础知识
    • 请求体多示例配置
    • 响应组件
    • 常用字段
    • 全局参数
    • 历史记录
    • 批量管理
    • 数据模型
      • 概述
      • 新建数据模型
      • 通过 JSON 等生成
      • 高级数据类型
      • 构建数据模型
    • 鉴权组件
      • 概述
      • 创建鉴权组件
      • 使用鉴权组件
      • 在线文档中的鉴权组件
    • 高级功能
      • 接口字段
      • 接口状态
      • 关联测试场景
      • 参数列表外观
      • 接口唯一标识
  • 开发和调试 API
    • 概述
    • 生成请求
    • 发送请求
    • 请求历史
    • 接口用例
    • 动态值
    • 校验响应
    • 文档模式/调试模式
    • 生成代码
    • 环境和变量
      • 概述
      • 全局/环境/临时变量
      • 环境与服务
      • Vault Secrets(密钥库)
        • 功能简介
    • 前后置操作&脚本
      • 概述
      • 断言
      • 提取变量
      • 等待时间
      • 数据库操作
        • 概述
        • MongoDB
        • Redis
        • Oracle
      • 使用脚本
        • 概述
        • 前置脚本
        • 后置脚本
        • 公共脚本
        • pm 脚本 API
        • 使用 JS 类库
        • 响应数据可视化
        • 调用外部程序
      • 脚本示例
        • 断言示例
        • 脚本使用变量
        • 脚本读取/修改接口请求信息
      • 常见问题
        • 如何获取动态参数的真实值并加密?
        • 脚本运行后,提取的数字(bigint)精度丢失应该如何处理?
    • API 调试
      • GraphQL 调试
      • WebSocket 调试
      • Socket.IO 调试
      • SSE 调试
      • SOAP/WebService
      • gRPC 调试
      • 使用请求代理调试
      • Dubbo 调试
        • 新建 Dubbo 接口
        • 调试 Dubbo 接口
        • Dubbo 接口文档
      • TCP(Socket)
        • Socket 接口功能简介
        • 报文数据处理器
  • Mock 数据
    • 概述
    • 智能 Mock
    • 自定义 Mock
    • Mock 优先级
    • Mock 脚本
    • 云端 Mock
    • 自托管 Runner Mock
  • 自动化测试
    • 概述
    • 编排测试场景
      • 新建测试场景
      • 测试步骤间传递数据
      • 测试流程控制条件
      • 从接口/用例同步数据
      • 跨项目导入接口/用例
      • 导出测试场景数据
    • 运行测试场景
      • 运行测试场景
      • 批量运行测试场景
      • 数据驱动测试
      • 定时任务
      • 管理其它项目接口的运行环境
    • 测试报告
      • 测试报告
    • API 测试
      • 集成测试
      • 性能测试
      • 端到端测试
      • 回归测试
    • Apifox CLI
      • 概述
      • 安装和运行 CLI
      • CLI 命令选项
    • CI/CD
      • 概述
      • 与 Jenkins 集成
      • 与 Gitlab 集成
      • 与 Github Actions 集成
      • 与其它更多 CI/CD 平台集成
  • 发布 API 文档
    • 概述
    • 快捷分享
    • 查看 API 文档
    • 发布文档站
    • 页面布局设置
    • 自定义域名
    • AI 相关特性
    • 高级设置
      • 文档站搜索设置
      • 跨域代理
      • 文档站接入 Google Analytics
      • SEO 设置
      • 文档左侧目录设置
      • 文档可见性设置
      • 在线 URL 链接规范
    • API 版本
      • 创建 API 版本
      • 发布 API 版本
      • 快捷分享 API 版本
      • 功能简介
  • 迭代分支
    • 功能简介
    • 新建迭代分支
    • 在迭代分支中改动 API
    • 在迭代分支中测试 API
    • 合并迭代分支
    • 管理迭代分支
  • 管理中心
    • 入驻清单
      • 了解基本概念
      • 团队入驻
    • 管理团队
      • 团队基本操作
      • 团队成员管理
      • 成员角色与权限设置
      • 团队资源
        • 通用 Runner
        • 请求代理 Agent
        • 团队变量
      • 实时协作
        • 团队协作
    • 管理项目
      • 项目基本操作
      • 项目成员管理
      • 通知设置
        • 功能简介
        • 通知对象
        • 通知事件
      • 项目资源
        • 数据库连接
    • 管理组织
      • 单点登录(SSO)
        • 功能简介
        • 为组织配置单点登录
        • 管理用户账号
        • 将组映射到团队
        • Microsoft Entra ID
      • SCIM 用户管理
        • 功能简介
        • Microsoft Entra ID
      • 组织资源
        • 自托管 Runner
  • IDEA 插件
    • 快速上手
    • 生成接口文档
    • 生成数据模型
    • 配置
      • 全局配置
      • 项目内配置
      • 可配置规则
      • 脚本工具
      • Groovy 本地扩展
    • 进阶配置
      • 注释规范说明
      • 框架支持
    • 常见问题
      • 常见问题
  • 浏览器扩展
    • Chrome
    • Microsoft Edge
  • Apifox MCP Server
    • 概述
    • 通过 MCP 使用 Apifox 项目内的 API 文档
    • 通过 MCP 使用公开发布的 API 文档
    • 通过 MCP 使用 OpenAPI/Swagger文档
  • 最佳实践
    • 概述
    • 接口之间如何传递数据
    • 登录态(Auth)如何处理
    • 接口签名如何处理
    • 如何加密/解密接口数据
    • Jenkins 定时触发任务
    • 如何计算 AI 问答成本
    • 与其他成员共用数据库连接配置
    • 通过 CLI 运行包含云端数据库连接配置的测试场景
    • 通过 Runner 运行包含云端数据库连接配置的测试场景
  • 账号&应用设置
    • 账号设置
    • 语言设置
    • 网络代理
    • 快捷键
    • 数据备份与恢复
    • 更新 Apifox
    • API 访问令牌
  • 身份验证 & Auth 鉴权指南
    • 什么是 API Key
    • 什么是 Bearer Token
    • 什么是 JWT
    • 什么是 Basic Auth
    • 什么是 Digest Auth
    • 什么是 OAuth 1.0
    • 什么是 OAuth 2.0
      • 什么是 OAuth 2.0
      • 授权码授权类型
      • 授权码授权类型,带有 PKCE
      • 隐式授权类型
      • 密码凭证授权类型
      • 客户端凭证授权类型
  • 服务与隐私协议
    • 服务协议
    • 隐私协议
    • 服务等级协议
  • 参考资料
    • API 设计优先理念
    • JSON Schema 介绍
    • JSONPath 介绍
    • XPath 介绍
    • Apifox Markdown 语法
    • CSV 格式规范
    • 正则表达式
    • 安装 Java 环境
    • Runner 运行环境
    • 常见编程语言对应的数据类型
    • Socket 粘包和分包问题
    • 词汇表
    • 目录链接汇总
    • Apifox Swagger 扩展
      • 概述
      • x-apifox-folder
      • x-apifox-status
      • x-apifox-name
      • x-apifox-maintainer
    • Apifox JSON Schema 扩展
      • 概述
      • x-apifox-mock
      • x-apifox-orders
      • x-apifox-enum
    • 动态值表达式
  • 常见问题
  1. 什么是 OAuth 2.0

授权码授权类型

授权码授权类型(Authorization Code Grant Type)可能是你在使用 OAuth 2.0 时最常见的一种授权类型。它被 Web 应用程序和原生应用程序(如 iOS 或 Android)所使用,用于在用户授权应用程序之后获取访问令牌。

授权码授权类型的工作原理#

image.png
上述示例图表说明了 OAuth 授权码授予流程中发生的交互。
1.
用户尝试访问应用程序(客户端)。
2.
客户端应用程序调用授权服务器的 authorize 端点。
3.
授权服务器响应重定向 URI,如果有的话,用户将被重定向到授权页面。
4.
用户通过其身份源(如用户名密码)进行身份验证并同意。
5.
授权服务器颁发授权码(code)。
6.
客户端应用程序使用在上一步提供的授权码请求身份验证到令牌端点,使用配置的身份验证方法和在前一步提供的授权码。
7.
授权服务器验证授权码(code)、客户端 ID 和客户端密钥。
8.
授权服务器返回访问令牌。
9.
客户端应用程序从资源服务器请求受保护资源,并提交在上一步收到的令牌(Token)。
10.
资源服务器验证令牌并响应请求的资源。

授权码授权类型的实际应用#

获取用户的权限#

OAuth 的目的是让用户授予应用程序有限的访问权限。应用程序首先需要确定它正在请求哪些权限,然后将用户导航到浏览器以获取他们的许可。为了开始授权流程,应用程序一般会构造如下所示的 URL,并打开一个属于该 URL 的浏览器窗口。
以下是每个查询参数的解释:
response_type=code :这告诉授权服务器(Authorization Server)正在启动授权码流程。
client_id :应用程序的公共标识符(客户端 ID),开发者在注册应用程序时获得。
redirect_uri :告诉授权服务器在用户同意请求后将用户进行重定向的回调地址。
scope :一个或多个用空格分隔的字符串,指示应用程序正在请求哪些权限。你正在使用的特定 OAuth API 将定义其支持的范围。
state :应用程序生成一个随机字符串,并将其包含在请求中。然后应用程序应检查用户授权应用程序后返回的相同值,这用于防止 CSRF 攻击。
当用户访问此 URL 时,授权服务器将向他们显示一个提示,询问他们是否想要授权此应用程序的请求。
image.png

重定向回应用程序#

如果用户同意了请求,授权服务器会在浏览器中重定向回应用程序指定的回调地址(redirect_uri),并在请求的 URL 上携带code 和 state。
例如,用户将被重定向回一个类似以下的 URL:
state 值将是应用程序最初在请求中设置的相同值,应用程序应检查重定向中的状态是否与其最初设置的状态相匹配,这可以防止 CSRF 和其他相关攻击。code 是授权服务器生成的授权码,此授权码的生命周期相对较短,通常持续时间为 1 到 10 分钟,具体取决于 OAuth 服务提供者。

通过授权码获取访问令牌#

现在应用程序已经有了授权码(code),它可以用来获取访问令牌。
应用程序通过向授权服务器发送 POST 请求,请求获取访问令牌,在发起请求时,请求 Body 的类型为Content-Type: application/x-www-form-urlencoded。请求一般包含以下参数:
grant_type=authorization_code : 这告诉授权服务器目前 OAuth 2.0 使用的类型是授权码授权类型。
code - 应用程序在重定向中收到的授权码。
redirect_uri - 请求代码时使用的相同重定向 URI。某些 API 不需要此参数,因此你需要仔细查看你要访问的特定 API 的文档。
client_id - 应用程序的客户端标识符(客户端 ID)。
client_secret - 应用程序的客户端密钥。这确保了获取访问令牌的请求仅来自应用程序,而不是可能拦截授权码的潜在攻击者。
授权服务器将验证请求中的所有参数,确保授权码(code)未过期,并且客户端 ID 和密钥匹配。如果一切正常,它将生成一个访问令牌(access_token)并在响应中返回,类似下面的响应。
以上就是授权码授权类型的整个流程,应用程序现在有了一个访问令牌(access_token),可在进行其它 API 请求时使用。

何时使用授权码流程#

授权码流程最适用于 Web 和移动应用程序,由于授权码授权需要额外的步骤来交换授权码以获取访问令牌,因此它提供了额外的安全层,这在隐式授权类型中不存在。
如果你在移动应用程序或任何其他类型的应用程序中使用授权码流程,但无法存储客户端密钥,则还应该使用 PKCE 模式,该扩展提供了对授权码可能被拦截的其他攻击的保护。
修改于 2025-01-07 08:44:13
上一页
什么是 OAuth 2.0
下一页
授权码授权类型,带有 PKCE
Built with