क्लाइंट_आईडी और क्लाइंट_सेक्रेट को समझना

Question

ओयूथ के लिए शुरुआत करने वाला थोड़ा सा और पूछना चाहता था कि क्या मैं कुछ सही तरीके से समझ गया हूं। मैं उपयोग कर रहा हूँ Owin और सी # और मैं सेटअप इस परिदृश्य:

1. एक उपयोगकर्ता पासवर्ड के grant_type के साथ एक उपयोगकर्ता नाम/पासवर्ड में गुजर, मेरे टोकन समाप्ति बिंदु को एक अनुरोध करता है। यदि प्रमाण-पत्र मान्य हैं, तो मैं एक जेडब्ल्यूटी बना देता हूं।

2. उपयोगकर्ता वापस हो जाता है एक जेडब्ल्यूटी, और उसके बाद ग्राहक उस टोकन सभी अनुरोधों

3. जिन्हें प्राधिकरण की आवश्यकता मैं टोकन के दावों का उपयोग उपयोगकर्ता सुनिश्चित करने के लिए इस अनुरोध करने की अनुमति है किसी भी अनुरोध के लिए आगे बढ़ने के लिए उपयोग करता है।

तो क्लाइंट_आईडी और क्लाइंट_सेक्रेट कहां आते हैं? क्या यह कहने के लिए सुरक्षा की एक अतिरिक्त परत है "इससे पहले कि आप टोकन भी प्राप्त कर सकें, आपको मुझे अन्य प्रमाण-पत्र (आईडी/गुप्त) सेट करना होगा और केवल मान्य हैं, आपके उपयोगकर्ता नाम/पासवर्ड प्रदान की है, यदि आप एक जेडब्ल्यूटी वापस प्राप्त कर सकते

को समझने के लिए जो दो से संबंधित चाहेंगे - धन्यवाद इतना

Answer 1

दोनों ग्राहक_आईडी और क्लाइंट_सेक्रेट पासवर्ड प्रवाह में उपयोग नहीं किए जाते हैं। हालांकि, जैसा कि आप शायद जानते हैं, OAuth2 में अन्य प्रवाह हैं, जो अन्य परिदृश्यों के लिए उपयुक्त हैं।

अर्थात्

:

• प्राधिकरण कोड प्रवाह कि प्रमाणित उपयोगकर्ताओं सर्वर साइड वेब एप्लिकेशन में इस्तेमाल किया। क्लाइंट_आईडी प्रारंभिक रीडायरेक्ट में उपयोग किया जाता है, क्लाइंट_सेक्रेट का उपयोग अंतिम चरण में किया जाता है जहां ऐप टोकन के लिए एक बार कोड का आदान-प्रदान करता है।

• ग्राहक साख प्रवाह व्यक्तिगत उपयोगकर्ताओं

सभी विभिन्न प्रवाह का एक संक्षिप्त संदर्भ के बजाय अनुप्रयोगों को प्रमाणित करने के लिए प्रयोग किया जाता: https://aaronparecki.com/articles/2012/07/29/1/oauth2-simplified

Answer 2

दो पक्षों के प्रमाणीकृत करने की आवश्यकता है के होते हैं:?! आवेदन और उपयोगकर्ता

।

एप्लिकेशन आईडी और गुप्त के साथ प्रमाणीकृत है, संभवतः कॉलबैक यूआरएल द्वारा समर्थित, जो सुनिश्चित करना चाहिए कि आरईसी टोकन का क्षणिक सही है।

उपयोगकर्ता OAuth प्रदाता के माध्यम से प्रमाणित है। यह इसके लिए उपयोगकर्ता नाम/पासवर्ड का उपयोग कर सकता है, या जो भी OAuth प्रदाता आवश्यक समझा जाता है। उस टोकन का उपयोग उपयोगकर्ता नाम और पासवर्ड जानने के बिना उपयोगकर्ता डेटा प्राप्त करने की अनुमति देने के लिए किया जाता है।