OAuth

OAuth 2.0 是一种广泛使用的开放授权协议，允许第三方应用在用户授权的情况下访问其资源，而无需暴露用户凭据。该协议由 IETF OAuth 工作组维护，其核心规范定义于 RFC 6749 中。OAuth 2.0 支持多种授权流程（授权码、客户端凭据、设备代码等），适用于不同客户端类型（如 Web 应用、移动应用、无浏览器设备）。

OAuth 2.0 文档网站（oauth.net/2）聚合了协议规范、安全最佳实践、扩展和社区资源，包括：

• 核心框架与令牌管理（访问令牌、刷新令牌、JWT 令牌等）
• 授权流程详解（授权码 + PKCE、客户端凭据、设备授权等）
• 安全增强方案（Pushed Authorization Requests、DPoP、mTLS）
• 客户端注册与发现（动态客户端注册、授权服务器元数据）
• 相关协议与标准（OpenID Connect、UMA、IndieAuth）

该站点面向开发者、安全工程师和架构师，提供规范解读、代码示例、视频课程（如 Aaron Parecki 的《OAuth 2.0 内幕》）及推荐书籍。此外，还有关于 OAuth 2.1（协议简化版本）的讨论和迁移指南。

使用该网站时，建议直接访问各规范链接以获取最新 IETF 文档，并注意区分“草稿”状态与正式 RFC 标准。OAuth 实现应始终遵循安全最佳实践（RFC 9700），避免使用已标记为“遗留”的隐式流程和密码授权。