OAuth 2.0 is a product of the Inter

OAuth 2.0 is a product of the Internet Engineering Task Force, formally documented in RFC 6749 and RFC 6750. Google’s implementation is described in Using OAuth 2.0 to Access Google APIs.

It’s easiest to understand OAuth 2 by starting with the notion of an “Access Token”, which is just a string of characters. It’s a “bearer token”, which means that you send it along with an HTTP request, either using the HTTP Authorization header (which is the best practice) or as an ?access_code= name/value pair tacked onto the end of a URI (which is not as secure).

The token represents the right for you to make that HTTP request to whatever the URI identifies. The tokens are fairly short-lived (an hour or less is typical) but can be refreshed, unless they’ve been revoked. Here's is an example of a token, a string which for an hour in December 2012 represented the right for the user of a particular Google Account to access the Google+ API: ya29.AHES6ZQRUz_7TzCdPehdeGeh6g4yFIBZGOwi-nRJTlg3XoQ

OAuth 2.0 also specifies how you go about getting a token; the inputs to this process include the identity of the user for whom access is being requested, and one or more scopes, strings which identify resources for which access is being sought. The process is a fairly involved HTTP dance involving several distinct servers, notably including:

One hosting the resource you’re trying to access,

one that can authenticate the person logged into the browser making the request, and

one that can issue and refresh the actual tokens.

The first redirects to the second redirects to the third and then you go back with your token to the first and do the actual work you started out trying to do. The control can flow entirely back and forth through the browser, with reasonably straightforward JavaScript, or through a back-channel between servers, which some regard as more secure.

The OAuth 2.0 specifications lay out how to build the target and redirect URIs, and encode the parameters. They also specify that any app using these protocols has to be registered with the server-side in advance.

The software offered by Google lets you conduct the OAuth flows directly, with direct access to the HTTP-level interchanges. However, in most cases, it's a better choice to use a high-level library such as Google+ Sign-in that encapsulates this at a level that is more convenient for the programmer, and probably less likely to introduce security vulnerabilities.

Note that Google offers a token revocation endpoint, so you can programmatically shut off previously-granted access. Also, end-users can do this interactively at the Authorized Access to your Google Account page. To reach this page, they should access the drop-down menu beside their picture at the right of the Google “sandbar” at the top of pages such as Gmail and Google+, select “Account”, from that page select “Security”, and from that page select “Connected applications and sites”.

ผลลัพธ์ (ไทย) 1:

OAuth 2.0 เป็นผลิตภัณฑ์ของอินเทอร์เน็ตทางวิศวกรรมงานแรง อย่างเป็นกิจจะลักษณะเอกสาร RFC 6749 และ RFC 6750 การใช้งานของ Google จะอธิบายในใช้ OAuth 2.0 การเข้าถึง Google APIsต้องเข้าใจ OAuth 2 โดยเริ่มจากแนวคิดของการ "Access Token" ซึ่งเป็นเพียงสายอักขระของอักขระได้ เป็น "ผู้ถือโทเคน" ซึ่งหมายความ ว่า คุณส่งพร้อม กับการร้อง ขอ HTTP โดยใช้หัวตรวจสอบ HTTP (ซึ่งเป็นการปฏิบัติที่ดีที่สุด) หรือเป็น การ? access_code = คู่ค่าชื่อ tacked ไปยังจุดสิ้นสุดของ URI (ที่ปลอดภัย)โทเค็นการแสดงด้านขวาคุณสามารถทำการร้องขอ HTTP ไป URI ระบุเพียง โทเคนมีอาชญาธรรม (ชั่วโมงหรือน้อยกว่าปกติ) แต่สามารถฟื้นฟู เว้นแต่ได้ถูกเพิกถอน นี่คือ ตัวอย่างของโทเค็น สตริงซึ่งสำหรับชั่วโมงใน 2012 ธันวาคมแสดงสิทธิ์สำหรับผู้ใช้บัญชี Google เฉพาะถึง API Google +: ya29AHES6ZQRUz_7TzCdPehdeGeh6g4yFIBZGOwi-nRJTlg3XoQOAuth 2.0 ยังระบุวิธีการที่คุณไปเกี่ยวกับการโทเค็น อินพุตกับกระบวนการนี้ประกอบด้วยรหัสของผู้ใช้ที่เข้าถึงมีการร้องขอ และอย่าง น้อยหนึ่งขอบเขต สายซึ่งระบุถึงทรัพยากรซึ่งเป็นการขอเข้า กระบวนการคือ เต้น HTTP ค่อนข้างเกี่ยวข้องกับที่เกี่ยวข้องกับเซิร์ฟเวอร์ทั้งหลาย รวมทั้งยวด:หนึ่งโฮสต์ทรัพยากรที่คุณกำลังพยายามเข้าถึงที่สามารถตรวจสอบบุคคลที่เข้าสู่ระบบลงในเบราว์เซอร์ขอ และหนึ่งที่สามารถออก และฟื้นฟูสัญญาณจริงเปลี่ยนเส้นทางแรกจะเปลี่ยนเส้นทางที่สองที่สามและจากนั้นคุณกลับไป ด้วยโทเค็นของคุณครั้งแรก และทำงานจริงที่คุณเริ่มออกพยายามทำ สามารถไหลตัวควบคุมทั้งหมดและกลับ ผ่าน เบราว์เซอร์ กับ JavaScript ที่สมเหตุสมผลตรงไปตรงมา หรือ ผ่านช่อง ทางกลับระหว่างเซิร์ฟเวอร์ ซึ่งบางพิจารณาว่าปลอดภัยมากขึ้นได้ข้อมูลจำเพาะ OAuth 2.0 วางวิธีการสร้างเป้าหมาย และเปลี่ยนเส้นทาง URIs และพารามิเตอร์การเข้ารหัส พวกเขายังระบุว่า โปรแกรมประยุกต์ใด ๆ ที่ใช้โพรโทคอเหล่านี้มีการลงทะเบียนกับฝั่งเซิร์ฟเวอร์ในล่วงหน้าซอฟต์แวร์นำเสนอ โดย Google ช่วยให้คุณดำเนินการขั้นตอน OAuth โดยตรง เข้า interchanges HTTP ระดับ อย่างไรก็ตาม ส่วนใหญ่ ได้เป็นทางเลือกที่ดีกว่าการใช้ไลบรารีพื้นฐานเช่น Google + เครื่องในที่ encapsulates นี้ในระดับที่เพิ่มความสะดวกสบายสำหรับนักเขียนโปรแกรม และคงน้อยน่าจะแนะนำความปลอดภัยช่องโหว่โปรดทราบว่า Google มีการเพิกถอนโทเค็นปลาย คุณสามารถโดยทางโปรแกรมปิดเข้าที่ได้รับก่อนหน้านี้ ยัง ผู้ใช้งานสามารถทำโต้ตอบที่ได้รับอนุญาตเข้าถึงหน้าบัญชี Google ของคุณ การเข้าถึงหน้านี้ ควรเข้าเมนูหล่นลงด้านข้างของรูปภาพที่ด้านขวาของ Google "กับ sandbar" ที่ด้านบนของหน้า Gmail และ Google + เลือก "บัญชี" จากเลือก "ความปลอดภัย" และจากหน้าเลือก "เชื่อมต่อไซต์และโปรแกรมประยุกต์"

ผลลัพธ์ (ไทย) 2:

OAuth 2.0 เป็นผลิตภัณฑ์จาก Internet Engineering Task Force เอกสารอย่างเป็นทางการใน RFC 6749 และ RFC 6750. การดำเนินงานของ Google ได้อธิบายไว้ในการใช้ OAuth 2.0 การเข้าถึง APIs Google. มันเป็นเรื่องที่ง่ายที่สุดที่จะเข้าใจ OAuth 2 โดยเริ่มต้นด้วยความคิดของ "Access Token "ซึ่งเป็นเพียงสายอักขระ มันเป็น "โทเค็นผู้ถือ" ซึ่งหมายความว่าคุณจะส่งไปพร้อมกับการร้องขอ HTTP ทั้งการใช้ส่วนหัว HTTP อนุญาต (ซึ่งเป็นวิธีที่ดีที่สุด) หรือ? access_code =

คู่ชื่อ / ค่าติดอยู่บนจุดสิ้นสุดของ URI (ซึ่งไม่เป็นที่เชื่อถือได้). โทเค็นเป็นตัวแทนที่เหมาะสมสำหรับคุณที่จะทำให้การร้องขอ HTTP ที่สิ่งที่ระบุ URI สัญญาณที่ค่อนข้างสั้น (ชั่วโมงหรือน้อยกว่าเป็นเรื่องปกติ) แต่สามารถได้รับการฟื้นฟูจนกว่าพวกเขาจะได้รับการเพิกถอน ที่นี่คือตัวอย่างของโทเค็น, สตริงซึ่งเป็นเวลาหนึ่งชั่วโมงในเดือนธันวาคม 2012 เป็นตัวแทนที่เหมาะสมสำหรับผู้ใช้ของบัญชีผู้ใช้ Google โดยเฉพาะอย่างยิ่งในการเข้าถึง API Google +: ya29.AHES6ZQRUz_7TzCdPehdeGeh6g4yFIBZGOwi-nRJTlg3XoQ OAuth 2.0 ยังระบุวิธีการที่คุณไปเกี่ยวกับการโทเค็น ; ปัจจัยการผลิตไปยังกระบวนการนี้รวมถึงตัวตนของผู้ใช้สำหรับผู้ที่เข้าถึงมีการร้องขอและหนึ่งหรือมากกว่าขอบเขตสตริงที่ระบุทรัพยากรที่เข้าถึงจะถูกขอ กระบวนการที่เกี่ยวข้องกับการเต้นรำ HTTP เป็นธรรมที่เกี่ยวข้องกับเซิร์ฟเวอร์ที่แตกต่างกันหลายสะดุดตารวมถึงหนึ่งโฮสติ้งทรัพยากรที่คุณกำลังพยายามที่จะเข้าถึงหนึ่งที่สามารถรับรองความถูกต้องคนที่เข้าสู่ระบบเบราว์เซอร์มีการร้องขอและหนึ่งที่สามารถออกและฟื้นฟูที่เกิดขึ้นจริง ราชสกุล. เปลี่ยนเส้นทางแรกที่สองเปลี่ยนเส้นทางไปที่สามแล้วที่คุณจะไปกลับมาพร้อมกับโทเค็นของคุณเพื่อการทำงานครั้งแรกที่เกิดขึ้นจริงและทำคุณเริ่มต้นจากการพยายามที่จะทำ การควบคุมทั้งหมดสามารถไหลไปมาผ่านเบราว์เซอร์ที่มีเหตุผลตรงไปตรงมา JavaScript, หรือผ่านช่องทางกลับระหว่างเซิร์ฟเวอร์ซึ่งบางส่วนเป็นเรื่องความปลอดภัยมากขึ้น. OAuth 2.0 ออกวางวิธีการสร้างเป้าหมายและเปลี่ยนเส้นทาง URIs และเข้ารหัส พารามิเตอร์ พวกเขายังระบุว่าการตรวจสอบโดยใช้โปรโตคอลเหล่านี้จะต้องมีการลงทะเบียนกับฝั่งเซิร์ฟเวอร์ล่วงหน้า. ซอฟแวร์ที่นำเสนอโดย Google ช่วยให้คุณสามารถดำเนินการ OAuth ไหลโดยตรงกับการเข้าถึงโดยตรงไปแลกเปลี่ยน HTTP ระดับ อย่างไรก็ตามในกรณีส่วนใหญ่ก็เป็นทางเลือกที่ดีกว่าการใช้ห้องสมุดระดับสูงสมบูรณ์เช่น Google+ Sign-in ที่ห่อหุ้มนี้ในระดับที่มีความสะดวกมากขึ้นสำหรับโปรแกรมเมอร์และอาจจะมีโอกาสน้อยที่จะแนะนำช่องโหว่ความปลอดภัย. ทราบว่า Google ข้อเสนอ ปลายทางเพิกถอน token เพื่อให้คุณโปรแกรมสามารถปิดการเข้าถึงก่อนหน้านี้ได้รับ นอกจากนี้ผู้ใช้สามารถทำเช่นนี้การโต้ตอบที่เข้าถึงผู้มีอำนาจหน้าบัญชี Google ของคุณ ในการเข้าถึงหน้านี้พวกเขาควรจะเข้าถึงเมนูแบบเลื่อนลงข้างภาพของพวกเขาที่ด้านขวาของ Google "ทราย" ที่ด้านบนของหน้าเว็บเช่น Gmail และ Google + เลือก "บัญชี" จากหน้านั้นเลือก "ความปลอดภัย" และ จากหน้านั้นเลือก "การใช้งานที่เกี่ยวโยงกันและเว็บไซต์"

ผลลัพธ์ (ไทย) 3:

OAuth 2.0 เป็นผลิตภัณฑ์ของอินเทอร์เน็ตวิศวกรรมงานอย่างเป็นทางการในเอกสาร RFC 6749 RFC และ 6 , 750 . ของ Google การอธิบายการใช้ OAuth 2.0 เพื่อเข้าถึง Google APIs

มันง่ายที่จะเข้าใจ OAuth 2 โดยเริ่มต้นด้วยแนวคิดของ " การ์ด " ซึ่งเป็นเพียงสตริงของอักขระ มันเป็น " ผู้ถือตั๋ว " ซึ่งหมายความ ว่า คุณส่งพร้อมกับ http ขอด้วยการใช้ HTTP ส่วนหัว ( ซึ่งคือการปฏิบัติที่ดีที่สุด ) หรือเป็น ? access_code = < เหรียญ > โพธิสัตว์ tacked บนจุดสิ้นสุดของ URI ( ซึ่งไม่ปลอดภัย ) .

โทเค็นเป็นที่เหมาะสมสำหรับคุณที่จะทำให้การร้องขอ HTTP URI ที่ระบุ . สัญญาณค่อนข้างสั้น ( ชั่วโมงหรือน้อยกว่าเป็นปกติ ) แต่สามารถฟื้นฟูจนกว่าพวกเขาจะถูกยกเลิกนี่เป็นตัวอย่างของโทเค็น , สตริงซึ่งเป็นชั่วโมงในธันวาคม 2555 แสดงที่เหมาะสมสำหรับผู้ใช้ของบัญชี Google โดยเฉพาะเพื่อเข้าถึง Google API : ya29 . ahes6zqruz_7tzcdpehdegeh6g4yfibzgowi-nrjtlg3xoq

OAuth 2.0 ยังระบุวิธีการที่คุณไปเกี่ยวกับการรับสัญญาณ ; ปัจจัยการผลิตเพื่อกระบวนการนี้รวมถึงตัวตนของผู้ใช้สำหรับ ใครเข้าจะถูกร้องขอและหนึ่งหรือมากกว่าหนึ่งขอบเขต , สตริงที่ระบุทรัพยากรที่สามารถเข้าถึงการค้นหา กระบวนการที่ค่อนข้างเกี่ยวข้องกับเซิร์ฟเวอร์ HTTP การเต้นรำหลายที่แตกต่างกัน โดยรวม :

หนึ่งโฮสต์ทรัพยากรที่คุณกำลังพยายามเข้าถึง

หนึ่งที่สามารถตรวจสอบบุคคลเข้าสู่ระบบเบราว์เซอร์การขอและ

ที่สามารถออกและฟื้นฟูสัญญาณจริง

ครั้งแรกที่เปลี่ยนเส้นทางไปยังเส้นทางที่สอง ที่สาม แล้ว กลับ กับ เหรียญของคุณแรกและทำงานจริง คุณเริ่มออกพยายามที่จะทำ การควบคุมสามารถไหลทั้งหมดไปมาผ่านเบราว์เซอร์ , ตรงไปตรงมาพอสมควรกับ JavaScript หรือผ่านช่องระหว่างเซิร์ฟเวอร์ ซึ่งถือว่าปลอดภัยมากขึ้น

OAuth 20 กำหนดวางวิธีการสร้างเป้าหมายและเปลี่ยนเส้นทาง URIs และเข้ารหัสพารามิเตอร์ พวกเขายังระบุว่า app ใด ๆ การใช้โปรโตคอลเหล่านี้จะต้องมีการจดทะเบียนกับฝั่งเซิร์ฟเวอร์ล่วงหน้า

ซอฟต์แวร์ที่เสนอโดย Google ช่วยให้คุณดำเนินการ OAuth ไหลโดยตรง ด้วยการเข้าถึงโดยตรงกับระดับ HTTP การถ่ายเท . อย่างไรก็ตาม ในกรณีส่วนใหญ่มันเป็นทางเลือกที่ดีกว่าการใช้ห้องสมุดพื้นฐานเช่น Google เข้าสู่ระบบที่ห่อหุ้มนี้ในระดับที่สะดวกมากขึ้นสำหรับโปรแกรมเมอร์และอาจจะโอกาสน้อยที่จะแนะนำช่องโหว่ความปลอดภัย

ทราบว่า Google มีโทเค็นการเพิกถอนรายงานเพื่อให้คุณสามารถเขียนโปรแกรมปิดก่อนหน้านี้ได้รับการเข้าถึง นอกจากนี้ผู้ใช้งานสามารถทำแบบโต้ตอบที่ได้รับอนุญาตการเข้าถึงหน้าบัญชีของ Google เพื่อเข้าถึงหน้านี้ พวกเขาควรใช้เมนูแบบเลื่อนลงข้างรูปที่ด้านขวาของ Google " สันทราย " ที่ด้านบนของหน้าเว็บ เช่น Gmail และ Google เลือก " บัญชี " จากที่หน้าเลือก " ความปลอดภัย " และจากที่หน้าเลือก " โปรแกรมเชื่อมต่อกับเว็บไซต์ "