OAuth 2.0授权码模式七步流程详解：从授权码到access_token的完整链路

做企业级Web开发的时候，几乎每个项目都逃不开"第三方登录"这个需求。第一次接OAuth 2.0授权流程时，我面对一屏术语——authorization code、access_token、refresh_token、scope、state——每个单词单独看都认识，连在一起就看不懂。后来我把整个流程画成一张图，顺着箭头的方向把关键步骤一个个走通，这才发现它骨子里是个很朴素的东西。我会用文字把这整张图拆开讲清楚，把授权码模式这条主线上的关键步骤串起来，顺带解释每个步骤背后的安全设计逻辑和实际接入时的坑。不管你是写Vue前端、做后端接口，还是被期末大作业或者技能大赛里的登录模块困住过，这套流程都值得花半小时彻底搞明白。

1. 为什么说OAuth 2.0是"授权票"而不是"交钥匙"

1.1 没有OAuth的年代，授权是怎么做的

在很多老系统或者内部项目里，"账号共享"是最粗暴的集成方案。A系统要用B系统的用户数据，就让B系统把用户名密码直接交给A系统，A系统存到自己的数据库里，需要时模拟用户身份去调接口。听起来省事，但风险悉数集中于：密码泄露面凭空扩大一倍，用户完全不知道自己密码被存进了哪里，更无法单独撤销A系统的访问权——除非把密码改掉，但改完B系统也得跟着改。这就像我把家门钥匙直接配了一把递出去，对方随时能进门，我还收不回那把钥匙。

OAuth 2.0换了个思路：不给钥匙，给一张带时限、带权限范围的通行证。这张证由授权服务器统一签发，上面写清楚"这张证是谁发的""能访问哪些资源"（scope）、"到什么时候失效"（expires_in）。第三方应用拿到它，也只能在限定范围内访问资源，过期或越权都会被挡回来。这就是整个协议最核心的哲学：资源所有者不交出核心凭证，只授予一个可撤销、可限权的临时凭证。

1.2 画图之前，先认全四个角色

我建议任何人在画这张流程图的线之前，先把四个参与方钉在脑子里，不然箭头一多就容易乱。

• 资源所有者：通常是用户本人。数据归他，他有最终决定权。
• 客户端：想访问用户数据的应用，可以是传统Web后端、SPA单页应用、移动App。我们做开发时写的那个项目，在这里就叫"客户端"。
• 授权服务器：负责验证用户身份、询问用户是否同意授权，然后签发code和token。第三方平台侧的认证中心就是它。
• 资源服务器：真正存放用户数据的地方，比如用户资料接口、订单接口。它校验access_token，校验通过才放行数据。

一个常见的类比是酒店入住：用户是房客，客户端是前台办的房卡，授权服务器是前台本人，资源服务器是客房的门锁。前台确认你的身份和意愿后，给你房卡，门锁只认卡不认人，卡到期就失效。这个类比基本能把整个OAuth 2.0的运作方式讲明白。

1.3 授权流程本质上在传递什么

拨开协议细节，OAuth 2.0在不同实体之间传递的东西只有两类：一类是"授权凭据"，另一类是"资源访问凭据"。授权码、access_token、refresh_token通通属于凭据，区别在于它们各自的生命周期、使用位置和机密等级不同。整个流程要解决的核心问题只有一个：如何安全地把"用户允许客户端访问某些资源"这个决定，转化成资源服务器能够验证的凭据，并且全程不让用户密码经过客户端之手。

理解了这个本质，后面所有步骤看起来都顺理成章——既然不能给密码，那就用"先证明用户同意，再换取专用凭据"的方式多走几步。

2. 从一张流程图开始：授权码模式的七步链路

2.1 整张图的样子

授权码模式（Authorization Code）是OAuth 2.0四种grant type里用得最多、也最规范的流程。如果把这整张图从左边到右边铺开，大概是这样的：最左边是浏览器，中间是客户端服务器，右边并列授权服务器和资源服务器。链路上边自顶向下画了七条带箭头的线：

1. 用户点击"使用第三方登录"，客户端生成授权链接。
2. 浏览器重定向到授权服务器，带client_id、redirect_uri、scope、state。
3. 用户在授权服务器上登录，并点击"同意授权"。
4. 授权服务器302重定向回redirect_uri，带上authorization code和state。
5. 客户端后端拿code + client_secret，到授权服务器token端点换access_token。
6. 客户端后端携带access_token，请求资源服务器的受保护资源。
7. 资源服务器校验access_token有效且权限足够，返回用户数据。

这七步是理解OAuth 2.0的地图。下面我把每一步拆开，讲清楚每步里发生了什么，以及为什么要这样做。

2.2 第一步：发起授权请求时，URL里放了什么

用户点击"使用第三方登录"的一瞬间，前端做的事其实非常简单，就是一次页面跳转，跳到授权服务器的authorize端点。跳转链接长这样：

text复制https://auth.example.com/oauth/authorize
  ?response_type=code
  &client_id=YOUR