demo007x的博客_OAuth2,Golang,服务端原创(8)

跟我一起探索 HTTP-HTTP 条件请求

在 HTTP 协议中有一个“条件式请求”的概念，在这类请求中，请求的结果，甚至请求成功的状态，都会随着验证器与受影响资源的比较结果的变化而变化。这类请求可以用来验证缓存的有效性，省去不必要的控制手段，以及验证文件的完整性，例如在断点续传的场景下或者在上传或者修改服务器端的文件的时候避免更新丢失问题。

首部

客户端

缓存

置顶原创 2023-05-29 08:13:19 116 阅读 yyds干货盘点

跟我一起探索 HTTP-HTTP缓存

HTTP 缓存会存储与请求关联的响应，并将存储的响应复用于后续请求。可复用性有几个优点。首先，由于不需要将请求传递到源服务器，因此客户端和缓存越近，响应速度就越快。最典型的例子是浏览器本身为浏览器请求存储缓存。此外，当响应可复用时，源服务器不需要处理请求——因为它不需要解析和路由请求、根据 cookie 恢复会话、查询数据库以获取结果或渲染模板引擎。这减少了服务器上的负载。缓存的正确操作对系统的稳定运行至关重要。

缓存

HTTP

服务器

置顶原创 2023-05-25 17:27:38 132 阅读 yyds干货盘点

跟我一起探索 HTTP-HTTP 认证

HTTP 提供一个用于权限控制和认证的通用框架。本页介绍了通用的 HTTP 认证框架，并且展示了如何通过 HTTP “Basic”模式限制对你服务器的访问。

身份验证

HTTP

服务器

置顶原创 2023-05-24 08:02:23 162 阅读 yyds干货盘点

跟我一起探索 HTTP-Fetch API

Fetch API 提供了一个获取资源的接口（包括跨网络通信）。对于任何使用过 XMLHttpRequest 的人都能轻松上手，而且新的 API 提供了更强大和灵活的功能集。

HTTP

API

重定向

置顶原创 2023-05-23 08:54:31 80 阅读 yyds干货盘点

跟我一起探索HTTP-X-Frame-Options

Content-Security-Policy HTTP 响应头有一个 frame-ancestors指令，支持这一指令的浏览器已经废弃了 X-Frame-Options 响应头。

响应头

Apache

HTTP

置顶原创 2023-05-21 16:13:46 205 阅读 yyds干货盘点

跟我一起探索HTTP-Strict-transport-security

HTTP Strict-Transport-Security（通常简称为HSTS）响应标头用来通知浏览器应该只通过 HTTPS 访问该站点，并且以后使用 HTTP 访问该站点的所有尝试都应自动重定向到 HTTPS。备注：这比在你的服务器上简单地配置 HTTP 到 HTTPS（301）重定向要安全，因为初始的 HTTP 连接仍然易受到中间人Attack。

HTTPS

HTTP

预加载

置顶原创 2023-05-20 18:42:48 488 阅读 yyds干货盘点

跟我一起探索HTTP-内容安全策略（CSP）

内容安全策略（CSP）是一个额外的安全层，用于检测并削弱某些特定类型的Attack，包括跨站脚本（XSS）和数据注入Attack等。无论是数据盗取、网站内容污染还是恶意软件分发，这些Attack都是主要的手段。 CSP 被设计成完全向后兼容（除 CSP2 在向后兼容有明确提及的不一致; 更多细节查看这里章节 1.1）。不支持 CSP 的浏览器也能与实现了 CSP 的服务器正常工作，反之亦然：不支持 CSP 的浏览器只会忽略它，如常运行，默认为网页内容使用标准的同源策略。如果网站不提供 CSP 标头，浏览器也使用标准的同源策略。

加载

HTTP

服务器

置顶原创 2023-05-19 08:15:13 212 阅读 yyds干货盘点

跟我一起探索HTTP-协议升级机制

HTTP/1.1 协议提供了一种使用Upgrade (en-US) 标头字段的特殊机制，这一机制允许将一个已建立的连接升级成新的、不相容的协议。这个机制是可选的；它并不能强制协议的更改（通常来说这一机制总是由客户端发起的）。如果它们支持新协议，实现甚至可以不利用 upgrade，在实践中，这种机制主要用于引导 WebSocket 连接。注意：HTTP/2 明确禁止使用此机制；这个机制只属于 HTTP/1.1。

服务器

HTTP

客户端

置顶原创 2023-05-18 08:46:10 489 阅读

跟我一起探索HTTP-HTTP/1.x 的连接管理

连接管理是一个 HTTP 的关键话题：打开和保持连接在很大程度上影响着网站和 Web 应用程序的性能。在 HTTP/1.x 里有多种模型：短连接、长连接和 HTTP 流水线。 HTTP 的传输协议主要依赖于 TCP 来提供从客户端到服务器端之间的连接。在早期，HTTP 使用一个简单的模型来处理这样的连接。这些连接的生命周期是短暂的：每发起一个请求时都会创建一个新的连接，并在收到应答时立即关闭。

HTTP

长连接

TCP

置顶原创 2023-05-17 07:54:41 92 阅读 yyds干货盘点

跟我一起探索HTTP-典型的 HTTP 会话

在像 HTTP 这样的客户端——服务器（Client-Server）协议中，会话分为三个阶段： 1. 客户端建立一条 TCP 连接（如果传输层不是 TCP，也可以是其他适合的连接）。 2. 客户端发送请求并等待应答。 3. 服务器处理请求并送回应答，回应包括一个状态码和对应的数据。从 HTTP/1.1 开始，连接在完成第三阶段后不再关闭，客户端可以再次发起新的请求。这意味着第二步和第三步可以连续进行数次。

HTTP

服务器

客户端

置顶原创 2023-05-16 08:08:54 158 阅读

跟我一起探索HTTP-HTTP 消息

HTTP 消息是服务器和客户端之间交换数据的方式。有两种类型的消息：请求（request）——由客户端发送用来触发一个服务器上的动作；响应（response）——来自服务器的应答。

HTTP

服务器

数据

置顶原创 2023-05-15 08:21:53 82 阅读 yyds干货盘点

跟我一起探索HTTP：HTTP 概述

HTTP 是一种能够获取如 HTML 这样的网络资源的 protocol(通讯协议)。它是在 Web 上进行数据交换的基础，是一种 client-server 协议，也就是说，请求通常是由像浏览器这样的接受方发起的。一个完整的 Web 文档通常是由不同的子文档拼接而成的，像是文本、布局描述、图片、视频、脚本等等。

HTTP

客户端

Web

置顶原创 2023-05-13 11:32:16 120 阅读 yyds干货盘点

跟我一起探索HTTP-MIME

MIME 的组成结构非常简单；由类型与子类型两个字符串中间用'/'分隔而组成。不允许空格存在。type 表示可以被分多个子类的独立类别。subtype 表示细分后的每个类型。MIME 类型对大小写不敏感，但是传统写法都是小写。

javascript

html

文件类型

置顶原创 2023-05-12 08:24:26 140 阅读 yyds干货盘点

跟我一起探索HTTP- 什么是Data URL

Data URL，即前缀为 data: 协议的 URL，其允许内容创建者向文档中嵌入小文件。它们之前被称作“data URI”。现代浏览器将 Data URL 视作唯一的不透明来源，而不是可以用于导航的 URL。

字符串

数据

HTML

置顶原创 2023-05-11 08:28:47 458 阅读 yyds干货盘点

跟我一起探索HTTP-什么是资源和 URI

HTTP 请求的内容通称为"资源"。”资源“这一概念非常宽泛，它可以是一份文档，一张图片，或所有其他你能够想到的格式。每个资源都由一个 (URI) 来进行标识。一般情况下，资源的名称和位置由同一个 URL（统一资源定位符，它是 URI 的一种）来标识。也有某些特殊情况，资源的名称和位置由不同的 URI 进行标识：例如，待请求的资源希望客户端从另外一个位置访问它。我们可以使用一个特定的首部字段，Alt-Svc，来指示这种情况。

Web

服务器

HTTP

置顶原创 2023-05-10 08:16:05 171 阅读 3点赞 yyds干货盘点

从0开始构建一个Oauth2 Server服务 <26> 用于无浏览器和输入受限设备的 OAuth

OAuth 2.0“设备流”扩展在具有 Internet 连接但没有浏览器或没有简单的文本输入方法的设备上启用 OAuth。如果您曾在 Apple TV 等设备上登录过 YouTube 帐户，那么您已经遇到过此工作流程。Google 参与了此扩展的开发，并且也是生产中的早期实施者。

服务器

HTTP

json

置顶原创精选 2023-05-09 07:48:05 407 阅读

从0开始构建一个Oauth2Server服务 <25> Native App 使用OAuth

为本机应用程序支持 OAuth 时要牢记的一些特殊注意事项。与基于浏览器的应用程序一样，本机应用程序不能使用客户端机密，因为这将要求开发人员在应用程序的二进制分发中传送机密。事实证明，反编译和提取秘密相对容易。因此，本机应用程序必须使用不需要预注册客户端密码的 OAuth 流程。

应用程序

重定向

服务器

置顶原创精选 2023-05-08 07:48:36 284 阅读 yyds干货盘点

从0开始构建一个Oauth2Server服务 <24> 资源服务器

资源服务器是 API 服务器的 OAuth 2.0 术语。资源服务器在应用程序获得访问令牌后处理经过身份验证的请求。大规模部署可能有多个资源服务器。例如，谷歌的服务有几十个资源服务器，如谷歌云平台、谷歌地图、谷歌云端硬盘、Youtube、谷歌+等。这些资源服务器中的每一个都是明显独立的，但它们都共享同一个授权服务器。

访问令牌

源服务器

HTTP

置顶原创 2023-05-07 10:44:10 156 阅读 yyds干货盘点

从0开始构建一个Oauth2Server服务 <22> 应用列表及撤销授权

OAuth 2.0 规范中没有任何内容要求用户能够撤销访问权限，甚至没有建议如何执行此操作，因此我们将查看几个主要的 API 提供商以获取有关如何完成此操作的灵感。

应用程序

访问令牌

源服务器

置顶原创 2023-05-06 08:08:11 206 阅读

从0开始构建一个Oauth2Server服务 <21> Refreshing-access-tokens

通常，刷新令牌仅用于机密客户端。但是，由于可以在没有客户端密码的情况下使用授权代码流，因此没有密码的客户端也可以使用刷新授权。如果向客户端发出了一个秘密，则客户端必须对该请求进行身份验证。通常，该服务将允许附加请求参数client_id和client_secret，或者接受 HTTP 基本身份验证标头中的客户端 ID 和密码。如果客户端没有密码，则此请求中不会出现客户端身份验证。

客户端

访问令牌

身份验证

置顶原创 2023-05-05 08:25:47 123 阅读 1点赞

从0开始构建一个Oauth2Server服务 <20> Access Token 访问令牌

当您的服务发出访问令牌时，您需要就您希望令牌持续多长时间做出一些决定。不幸的是，没有针对每项服务的一揽子解决方案。不同的选项会带来各种权衡，因此您应该选择最适合您的应用程序需求的选项（或选项组合）

访问令牌

应用程序

开发人员

置顶原创 2023-05-04 08:28:42 193 阅读 1点赞 yyds干货盘点

从0开始构建一个Oauth2Server服务 <19> Token 编解码

令牌提供了一种通过在令牌字符串本身中编码所有必要信息来避免将令牌存储在数据库中的方法。这样做的主要好处是 API 服务器能够验证访问令牌，而无需对每个 API 请求进行数据库查找，从而使 API 更容易扩展。 OAuth 2.0 Bearer Tokens 的好处是应用程序不需要知道您决定如何在您的服务中实现访问令牌。这意味着以后可以在不影响客户端的情况下更改您的实现。

字符串

服务器

ide

置顶原创精选 2023-05-03 19:12:07 248 阅读 yyds干货盘点

从0开始构建一个Oauth2Server服务 <18> AccessToken

访问令牌是应用程序用来代表用户发出 API 请求的东西。访问令牌代表特定应用程序访问用户数据的特定部分的授权。访问令牌不必是任何特定格式，尽管对不同的选项有不同的考虑，这将在本章后面讨论。就客户端应用程序而言，访问令牌是一个不透明的字符串，它会接受任何字符串并在 HTTP 请求中使用它。资源服务器需要了解访问令牌的含义以及如何验证它，但应用程序永远不会关心理解访问令牌的含义。

客户端

访问令牌

应用程序

置顶原创精选 2023-05-02 09:33:46 409 阅读 1点赞 yyds干货盘点

从0开始构建一个Oauth2Server服务 <17> 回调地址 Redirect URL

重定向 URL 是 OAuth 流程的关键部分。用户授权应用成功后，授权服务器会将用户重定向回应用。由于重定向 URL 将包含敏感信息，因此服务不会将用户重定向到任意位置至关重要。

重定向

应用程序

服务器

置顶原创 2023-05-01 09:47:23 544 阅读

从0开始构建一个Oauth2Server服务 <16> 授权范围 Scope

范围是一种限制应用程序访问用户数据的方法。与其授予对用户帐户的完全访问权限，不如让应用程序能够代表用户请求更有限范围内允许它们执行的操作，这通常很有用。

应用程序

API

访问权限

置顶原创 2023-04-30 08:38:13 283 阅读

从0开始构建一个Oauth2Server服务 <15> 安全问题

针对 OAuth 服务器的一种潜在Attack是网络钓鱼Attack。这是Attack者创建一个看起来与服务授权页面相同的网页的地方，该页面通常包含用户名和密码字段。然后，Accacker可以通过各种手段诱骗用户访问该页面。除非用户可以检查浏览器的地址栏，否则该页面可能看起来与真正的授权页面完全相同，并且用户可以输入他们的用户名和密码。

应用程序

重定向

服务器

置顶原创 2023-04-29 10:34:20 190 阅读 yyds干货盘点

从0开始构建一个Oauth2Server服务 <12> 用户登录及授权

通常像 Twitter 或 Facebook 这样的网站希望他们的用户在大部分时间都登录，因此他们为他们的授权屏幕提供了一种方式，通过不要求他们每次都登录来为用户提供简化的体验。但是，根据您的服务以及第三方应用程序的安全要求，可能需要要求或允许开发人员选择要求用户在每次访问授权屏幕时都登录。

应用程序

服务器

访问权限

置顶原创 2023-04-27 08:48:11 231 阅读 yyds干货盘点

从0开始构建一个Oauth2Server服务 <10> 删除应用程序

开发人员将需要一种方法来删除（或至少停用）他们的应用程序。为开发人员提供一种方法来为他们的应用程序撤销和生成新的客户端密码也是一个好主意。

应用程序

开发人员

访问令牌

置顶原创 2023-04-26 08:23:56 131 阅读 yyds干货盘点

从0开始构建一个Oauth2Server服务 <8> 注册应用

当开发人员访问您的网站时，他们将需要一种方法来创建新的应用程序并获取凭据。通常，在他们可以创建应用程序之前，您会让他们创建一个开发者帐户，或代表他们的组织创建一个帐户。虽然 OAuth 2.0 规范不要求您在授予凭据之前收集任何应用程序信息，但大多数服务会在发布client_id和client_secret. 但是，出于安全目的，您需要开发人员为应用程序注册一个或多个重定向 URL，这一点很重要。这在重定向 URL中有更详细的解释。

应用程序

开发人员

客户端

置顶原创 2023-04-25 08:29:58 129 阅读 1点赞 yyds干货盘点

从0开始构建一个Oauth2Server服务 <7>发起认证请求

Authorization访问令牌在以文本为前缀的HTTP 标头中发送到服务Bearer。从历史上看，某些服务允许在 post 正文参数甚至 GET 查询字符串中发送令牌，但这些方法也有缺点，大多数现代实现将仅使用 HTTP 标头方法。

访问令牌

API

应用程序

置顶原创精选 2023-04-24 08:19:19 280 阅读 1点赞 yyds干货盘点

官方博客	全部文章	热门标签	班级博客
了解我们	网站地图	意见反馈

鸿蒙开发者社区	51CTO学堂
51CTO	软考资讯

51CTO博客

demo007x的博客

跟我一起探索 HTTP-HTTP 条件请求

跟我一起探索 HTTP-HTTP缓存

跟我一起探索 HTTP-HTTP 认证

跟我一起探索 HTTP-Fetch API

跟我一起探索HTTP-X-Frame-Options

跟我一起探索HTTP-Strict-transport-security

跟我一起探索HTTP-内容安全策略（CSP）

跟我一起探索HTTP-协议升级机制

跟我一起探索HTTP-HTTP/1.x 的连接管理

跟我一起探索HTTP-典型的 HTTP 会话

跟我一起探索HTTP-HTTP 消息

跟我一起探索HTTP：HTTP 概述

跟我一起探索HTTP-MIME

跟我一起探索HTTP- 什么是Data URL

跟我一起探索HTTP-什么是资源和 URI

从0开始构建一个Oauth2 Server服务 <26> 用于无浏览器和输入受限设备的 OAuth

从0开始构建一个Oauth2Server服务 <25> Native App 使用OAuth

从0开始构建一个Oauth2Server服务 <24> 资源服务器

从0开始构建一个Oauth2Server服务 <22> 应用列表及撤销授权

从0开始构建一个Oauth2Server服务 <21> Refreshing-access-tokens

从0开始构建一个Oauth2Server服务 <20> Access Token 访问令牌

从0开始构建一个Oauth2Server服务 <19> Token 编解码

从0开始构建一个Oauth2Server服务 <18> AccessToken

从0开始构建一个Oauth2Server服务 <17> 回调地址 Redirect URL

从0开始构建一个Oauth2Server服务 <16> 授权范围 Scope

从0开始构建一个Oauth2Server服务 <15> 安全问题

从0开始构建一个Oauth2Server服务 <12> 用户登录及授权

从0开始构建一个Oauth2Server服务 <10> 删除应用程序

从0开始构建一个Oauth2Server服务 <8> 注册应用

从0开始构建一个Oauth2Server服务 <7>发起认证请求

欢迎