引言：从密码模式到授权码模式
在构建与身份提供者（如 wso2 identity server）集成的应用程序时，获取访问令牌是调用受保护 api 的关键步骤。传统的密码凭证（password grant）模式虽然简单，但要求应用程序直接处理并发送用户的用户名和密码，这在安全性上存在显著风险，尤其是在客户端应用中。为了规避这种风险，oauth 2.0 引入了授权码（authorization code）流程，它通过将用户重定向到身份提供者的登录页面来授权，然后返回一个临时的授权码，应用程序再用此码交换访问令牌。这种方式避免了用户凭证在应用程序中的直接暴露，显著提升了安全性。
授权码流程概览
授权码流程是 OAuth 2.0 中最常用且最安全的授权方式，尤其适用于具备服务器端能力的应用程序。其核心思想是将用户认证和授权的职责委托给身份提供者，应用程序仅接收授权凭证（授权码）来获取最终的访问令牌。整个流程通常包括以下几个步骤：
- 用户重定向到授权端点： 应用程序将用户重定向到 WSO2 Identity Server 的授权端点，并附带请求参数（如客户端 ID、重定向 URI、请求范围等）。
- 用户认证与授权： 用户在 WSO2 Identity Server 的登录页面完成认证，并同意应用程序请求的权限。
- 重定向回应用程序（带授权码）： WSO2 Identity Server 将用户重定向回应用程序预先注册的重定向 URI，并在 URL 参数中包含授权码（code）。
- 应用程序交换授权码： 应用程序使用接收到的授权码、客户端 ID、客户端密钥以及重定向 URI，向 WSO2 Identity Server 的令牌端点发起 POST 请求，交换访问令牌。
- 获取访问令牌： WSO2 Identity Server 验证请求后，返回访问令牌（Access Token）、刷新令牌（Refresh Token）等信息。
- 使用访问令牌： 应用程序使用获取到的访问令牌调用受保护的 API。
WSO2 Identity Server 配置
要启用授权码流程，首先需要在 WSO2 Identity Server 中为您的应用程序进行相应的配置。
- 登录 WSO2 Identity Server 管理控制台。
- 导航到应用程序配置： 通常在 "Service Providers" 或 "Applications" 下找到您的应用程序。
- 配置 OAuth/OpenID Connect： 在应用程序的 OAuth/OpenID Connect 配置部分，找到 "Allowed Grant Types" 列表。
- 选择 "Code" 授权类型： 确保勾选 "Code"（即授权码）作为允许的授权类型。同时，请务必配置正确的 "Callback URL(s)"（重定向 URI），这是 WSO2 Identity Server 在用户授权后将授权码返回给应用程序的地址。
获取授权码
获取授权码是授权码流程的第一步，它通过将用户浏览器重定向到 WSO2 Identity Server 的授权端点来完成。
应用程序需要构建一个授权请求 URL，并引导用户浏览器访问该 URL。这个 URL 包含以下关键参数：
- response_type=code：指示请求授权码。
- client_id：您的应用程序在 WSO2 Identity Server 中注册的客户端 ID。
- redirect_uri：WSO2 Identity Server 授权后将用户重定向回的应用程序回调地址，必须与注册时配置的重定向 URI 完全匹配。
- scope：请求的权限范围，例如 internal_user_mgt_create 用于创建用户。
- state (可选但推荐)：一个由客户端生成的、用于防止 CSRF 攻击的随机字符串。
示例授权请求 URL：
GET https://localhost:9443/oauth2/authorize?
response_type=code&
client_id=YOUR_CLIENT_ID&
redirect_uri=http://localhost:8080/callback&
scope=internal_user_mgt_create&
state=YOUR_RANDOM_STATE当用户访问此 URL 后，WSO2 Identity Server 会显示登录页面。用户成功登录并授权后，WSO2 Identity Server 会将用户浏览器重定向到 redirect_uri，并在 URL 的查询参数中附带授权码 (code) 和 state 参数。
示例重定向响应（包含授权码）：
http://localhost:8080/callback?code=YOUR_AUTHORIZATION_CODE&state=YOUR_RANDOM_STATE
您的应用程序需要在 http://localhost:8080/callback 这个端点接收并解析这个 URL，从中提取 code 参数的值。
交换授权码获取访问令牌
获取到授权码后，应用程序不能直接使用它来访问 API。授权码是一个临时凭证，需要将其与客户端密钥一起发送到 WSO2 Identity Server 的令牌端点，以交换真正的访问令牌。
这一步通常通过应用程序的后端服务器发起一个 POST 请求完成，以确保客户端密钥的安全性。
请求方法： POST 请求 URL： https://localhost:9443/oauth2/token (WSO2 Identity Server 的令牌端点) 请求头： Content-Type: application/x-www-form-urlencoded请求体参数：
- grant_type=authorization_code：指示使用授权码类型。
- code：上一步获取到的授权码。
- redirect_uri：与授权请求中使用的 redirect_uri 必须完全一致。
- client_id：您的应用程序的客户端 ID。
- client_secret：您的应用程序的客户端密钥。为了安全，client_id 和 client_secret 也可以通过 HTTP Basic Auth 头传递。
示例令牌交换请求（使用 curl 模拟）：
curl -X POST \ https://localhost:9443/oauth2/token \ -H 'Content-Type: application/x-www-form-urlencoded' \ -u 'YOUR_CLIENT_ID:YOUR_CLIENT_SECRET' \ -d 'grant_type=authorization_code&code=YOUR_AUTHORIZATION_CODE&redirect_uri=http://localhost:8080/callback'
示例响应：
如果请求成功，WSO2 Identity Server 将返回一个 JSON 对象，其中包含访问令牌 (access_token)、令牌类型 (token_type)、过期时间 (expires_in) 和可选的刷新令牌 (refresh_token)。
{
"access_token": "YOUR_ACCESS_TOKEN",
"refresh_token": "YOUR_REFRESH_TOKEN",
"scope": "internal_user_mgt_create",
"token_type": "Bearer",
"expires_in": 3600
}使用访问令牌调用受保护API
获得 access_token 后，您的应用程序就可以将其作为 Bearer 令牌包含在 HTTP 请求的 Authorization 头中，用于调用 WSO2 SCIM2.0 API 或其他受保护的 API，例如创建用户 (/scim2/Users)。
示例 SCIM2.0 API 调用：
curl -X POST \
https://localhost:9443/t/carbon.super/scim2/Users \
-H 'Authorization: Bearer YOUR_ACCESS_TOKEN' \
-H 'Content-Type: application/json' \
-d '{
"schemas": ["urn:ietf:params:scim:schemas:core:2.0:User"],
"userName": "testuser",
"password": "Password123!",
"name": {
"givenName": "Test",
"familyName": "User"
}
}'关键注意事项
- 重定向 URI (Redirect URI) 的重要性： 确保在 WSO2 Identity Server 中注册的 redirect_uri 与授权请求和令牌交换请求中使用的 URI 完全一致。这是安全的关键一环，防止授权码被拦截或发送到恶意地址。
- 客户端密钥的安全性： 客户端密钥（Client Secret）是应用程序的秘密凭证，绝不能暴露在客户端代码中（如浏览器或移动应用）。令牌交换步骤必须在安全的后端服务器上进行。
- Scope (权限范围) 的管理： 仅请求应用程序实际需要的权限范围。WSO2 Identity Server 会根据 scope 参数验证用户是否授权了相应的操作。
- State 参数的使用： 在授权请求中包含 state 参数，并在重定向回应用程序时验证其值，以防止跨站请求伪造（CSRF）攻击。
- 错误处理： 在每一步骤中都应妥善处理可能出现的错误，例如网络问题、无效的授权码或令牌过期等。
总结
通过采用授权码流程，您的应用程序可以显著提升安全性，避免在客户端环境中处理敏感的用户凭证。虽然相比密码模式，授权码流程涉及更多的步骤和重定向，但其带来的安全优势是显而易见的。正确配置 WSO2 Identity Server，并严格遵循 OAuth 2.0 授权码流程的最佳实践，是构建安全可靠应用程序的关键。
