DEV Community
·
OAuth 2.0与OAuth 2.1：变化是什么以及为何重要
💡
原文英文，约800词，阅读约需3分钟。
📝
内容提要
OAuth 2.1是OAuth 2.0的升级版，增强了安全性。主要改进包括：PKCE强制要求、取消隐式授权、刷新令牌轮换、严格的重定向URI匹配、简化授权类型及内置安全性。新项目应使用OAuth 2.1，现有系统可逐步升级。
🎯
关键要点
- OAuth 2.1是OAuth 2.0的升级版，增强了安全性。
- PKCE从可选变为强制，所有授权代码流都必须使用PKCE。
- 取消隐式授权，推崇使用带PKCE的授权代码流。
- 刷新令牌轮换，使用刷新令牌时会获得新令牌，旧令牌失效。
- 重定向URI必须严格匹配，防止开放重定向攻击。
- 简化授权类型，去掉密码授权，减少选择混乱。
- 安全性内置于核心规范中，简化安全实现。
- 新项目应使用OAuth 2.1，现有系统可逐步升级。
❓
延伸问答
OAuth 2.1相比于OAuth 2.0有哪些主要改进？
OAuth 2.1增强了安全性，主要改进包括强制使用PKCE、取消隐式授权、刷新令牌轮换、严格的重定向URI匹配和简化授权类型。
PKCE在OAuth 2.1中有什么变化？
在OAuth 2.1中，PKCE从可选变为强制，所有授权代码流都必须使用PKCE，以增强安全性。
为什么OAuth 2.1取消了隐式授权？
OAuth 2.1取消隐式授权是因为它存在安全风险，令牌可能通过浏览器历史记录或日志泄露，因此推荐使用带PKCE的授权代码流。
OAuth 2.1如何处理刷新令牌？
OAuth 2.1引入了刷新令牌轮换机制，每次使用刷新令牌时会获得新令牌，旧令牌失效，从而提高安全性。
OAuth 2.1对重定向URI有什么要求？
OAuth 2.1要求重定向URI必须严格匹配，防止开放重定向攻击，确保安全性。
新项目应该使用OAuth 2.1吗？
是的，新项目应使用OAuth 2.1，因为它是现代标准，基于多年的经验教训，提供更好的安全性。
➡️
