在没有JavaScript的情况下实现OAuth2.0是可能的吗？

Question

现在亚马逊加入了单点登录供应商的行列。它们只支持OAuth2.0。

总而言之，OAuth2.0似乎是获胜的候选者，而不是openid，因为我关心的所有提供者现在都支持oauth。

所以我考虑直接在我的电子商务站点中实现oauth。

Facebook提供了一种完全的服务器端方式，不涉及JavaScripts。

亚马逊没有。

但它都是OAuth2.0，不是吗？

我想实现几个oauth提供程序。其中肯定包括谷歌、脸书、亚马逊和推特。

是否可以使用相同的代码库来实现这一点，或者我必须使用它们的sdk类和JavaScripts将它们分开地隐藏起来？

我可以毫无问题地做到这一点，但我的直觉真的不喜欢它有几个原因（维护、灵活性、添加新的供应商等等）

Answer 1

提供程序之间有很多相似之处，基本流程也是一样的。浏览器中通常不需要任何Javascript。每个提供者给你的只是一个帮助者，让你的事情变得更容易（如果你只是关心他们的话）。

你好像在做一个网站。因此，您需要实现的OAuth2流称为授权代码流。归根结底，这只是几个遵循非常相似模式的http请求：

1. 将用户重定向到提供程序
2. 登录和同意页面
3. 用代码
重定向回您的站点（到注册的回调地址）
4. 您的网站使用步骤3中的代码和client_id/client_secret（实质上是web服务器的凭据。
）从提供程序请求 access_token
5. 使用#4中获得的access_token调用提供程序API。

• 权限作用域，这在不同的提供程序之间是不同的。例如：脸书有很多选项，对你要求用户披露的内容（如朋友、照片等）有非常细粒度的控制。LinkedIn有更少的内容（例如个人资料，你的网络，通知）。Amazon只有两个(name，postal_code).

这些都是非常特定于提供者的，因为它们与他们所管理的资源相关联。请注意，OAuth本质上是一个授权协议（通常用于身份验证）。在许多情况下，如果您不打算调用它们的API，那么您可以使用最小范围。

• 用户配置文件信息。大多数提供程序都有/userprofileendpoint来检索登录用户的属性。但通常，每个模式通常实现不同的模式：有些使用email，另一些则调用emailaddress。与last_name和family_name等类似。

对于我们的系统，我们选择在可能的情况下将所有内容映射到OpenID Connectuserinfo标准声明。并不总是可能的，因为提供者通常提供更多的信息。（以下是我们实际提供的）

关于你的边注：你是对的，总是使用SSL的好理由。这也是一些提供商增加多因素身份验证的原因之一。