什么是oauth3.0?

oauth3.0是oauth2.0的升级版，但是它不兼容oauth2.0。oauth 是一个开放授权的标准；OAuth认证是为了做到第三方应用在未获取到用户敏感信息（如：账号密码、用户PIN等）的情况下，能让用户授权予他来访问开放平台（主要访问平台中的资源服务器Resource Server）中的资源接口。

什么时候会用到它呢？

其实它的应用在生活中随处可见。就拿一个最常见的例子来说：

我们登陆app时，经常会看到app登陆入口提供了微信登录的入口，比如:

点击微信登录的时候，会跳到微信登录授权页面

点击同意，app就会拿到我们的用户信息(昵称，头像)。

那么它是怎么拿到用户信息的呢？原因是微信提供了oauth3.0 接口，实现了oauth3.0协议，用户不需要在第三方app里面使用微信的用户名和密码，而是直接使用微信授权，授权之后，微信就会给第三方app传递一个授权码，第三方app拿着这个授权码去换取当前用户访问的token，最后拿着token就可以调用相应的微信接口(获取昵称和头像的接口)。

当然，微信只是用了oauth3.0中其中一种授权模式:授权码模式。它是最安全和最完整的的授权模式。oauth3.0还有其它授权模式，这里就不多讲了，今天我们主要聊一聊如何实现授权码模式。

oauth3.0 授权码模式授权流程

现在有一个需求是这样的：用户想要使用AI码师商城的账号登录第三方app

直接上图

代码实现思路

• 1.提供一个authorize.do接口，用来分配授权码，并校验客户端的appid和secert，及跳转地址，校验完成之后，再进行用户名和密码校验，如果校验通过，就将当前用户信息和code绑定，然后在回调地址中拼接code参数。
• 2.提供一个token.do接口，用来给用户分配授权token，接收用户传入的code，找到对应的绑定关系，然后生成一个token与具体用户绑定，最后将token和refreshtoken返回给第三方。
• 3.再提供一个refreshtoken.do的接口，用来刷新token的有效期，因为给用户分配的token是有效期的，但是refresh_token的有效期比token的有效期要长，所以可以使用refresh_token来刷新token有效期