CAS和OAuth2.0区别

CAS (Central Authentication Service) 和 OAuth 2.0 都是身份验证和授权技术，但它们在工作原理和适用场景上有明显的差异。

CAS 是一种单点登录（SSO）解决方案，它提供了一个中心化的身份验证和授权服务。用户只需要在 CAS 服务器上登录一次，就可以访问所有相关的应用程序，无需在每个应用程序上分别登录。CAS 主要用于学校和企业内部的身份验证和授权。

OAuth 2.0 是一种授权框架，可以让用户授权第三方应用程序访问他们在其他服务上存储的信息，而不需要披露密码。OAuth 2.0 主要用于互联网上的身份验证和授权，比如，用户可以使用 Facebook 账号登录第三方网站，而不需要在第三方网站上创建新账号。

因此，CAS 和 OAuth 2.0 都是为不同的场景设计的，CAS 更适合内部身份验证和授权，而 OAuth 2.0 更适合在互联网上的身份验证和授权。

Bearer和OAuth2.0区别

Bearer认证

Bearer authentication 和 OAuth 2.0 authentication 都是身份验证技术，但它们有一些重要的差异。

Bearer authentication 是一种令牌认证方法，其中客户端通过提交令牌来请求资源。令牌是在客户端成功登录后由服务器生成的，并且客户端可以存储令牌并在后续请求中重复使用。由于令牌是随请求发送的，因此服务器可以识别客户端并执行任何必要的授权检查。

OAuth 2.0 authentication 是一种授权框架，它允许客户端在不需要直接访问用户凭据的情况下访问用户的资源。在 OAuth 2.0 中，客户端向服务器请求授权令牌，并使用该令牌请求资源。由于令牌是由授权服务器生成的，因此可以更好地保护用户的隐私和安全。

因此，可以将 Bearer authentication 视为 OAuth 2.0 authentication 的一种实现，或将 OAuth 2.0 authentication 视为 Bearer authentication 的一种扩展。但是，OAuth 2.0 比 Bearer authentication 更加灵活和强大，并提供了更多的安全特性。

CAS 认证流程

CAS：

https://apereo.github.io/cas/6.6.x/protocol/CAS-Protocol.html

cas_flow_diagram (1).png

OAuth2.0授权流程

OAuth2.0

OAuth2.0是一种开放的授权框架，它允许用户授权第三方应用访问他们的在线资源（例如文件存储，社交网络，电子邮件等），而不需要披露其访问凭证。

下面是OAuth2.0流程的一般步骤：

用户请求授权：第三方应用请求用户授权其访问其在线资源。

资源所有者授权：如果用户同意，资源所有者将生成一个授权码，并将其返回给第三方应用。

第三方应用请求令牌：第三方应用向认证服务器请求令牌，并提供授权码以证明它已获得授权。

认证服务器生成令牌：认证服务器验证授权码，如果有效，它将生成一个令牌并将其返回给第三方应用。

第三方应用请求资源：第三方应用可以使用令牌向资源服务器请求访问资源。

资源服务器验证令牌：资源服务器验证令牌，如果有效，它将返回请求的资源。

这是OAuth2.0流程的一般概述，但是它可以根据特定实现的需要进行扩展。

OAuth2.0授权方式

OAuth2.0定义了四种不同的授权方式：

授权码模式（Authorization Code）：这是最常见的OAuth2.0授权方式，它适用于Web应用程序。它要求用户在客户端授权，然后客户端从认证服务器请求令牌。
简化模式（Implicit）：这种方式适用于客户端（例如JavaScript应用程序），它允许客户端直接从认证服务器请求令牌，而不需要进行授权码流程。
密码模式（Resource Owner Password Credentials）：这种方式要求用户向客户端提供访问凭证（例如用户名和密码），然后客户端向认证服务器请求令牌。这种方式不推荐在Web应用程序中使用，因为它需要客户端将用户的凭证存储在客户端中。
客户端凭证模式（Client Credentials）：这种方式适用于客户端，它允许客户端向认证服务器请求令牌，而不需要任何用户授权。它通常用于客户端向资源服务器请求访问受保护资源。

这四种授权方式都是在OAuth2.0中定义的，你可以根据你的应用程序需求选择合适的授权方式。

OAuth2.0提供了多种授权流程，其中授权码授权流程是其中一种。这种流程通常被用于服务端应用，例如第三方应用，因为它们不能直接访问用户的资源。在这种流程中，首先获取授权码是必要的，因为它是换取令牌的一个中间步骤，并且还有助于保护资源拥有者的隐私。

然而，在某些情况下，授权码可以被省略，例如对于客户端应用，因为它们可以直接向资源服务器请求令牌。这种情况称为隐式授权流程。

因此，是否可以省去获取授权码的步骤取决于OAuth2.0的具体实现和应用场景。

作者：我是小胡胡分胡
链接：https://www.jianshu.com/p/6de90b83541b
来源：简书
著作权归作者所有。商业转载请联系作者获得授权，非商业转载请注明出处。