一次搞懂OAuth與SSO在幹什麼?
一次搞懂OAuth與SSO在幹什麼? 最近的Line Notify、Line Login，以及前一陣子的Microsoft Graph API，全都使用到了OAuth作為用戶身分驗證以及資源存取的基礎。但很多讀者會卡在OAuth的運作流程上，根本的原因是不理解OAuth到底是幹嘛的?其存在的目的為何?以及如何應用? 因此，我想花一個篇幅，盡可能短的介紹一下OAuth與SSO，但，與坊間文章不同的是，我希望從應用情境的角度(而非技術)切入談這件事情，冀望能夠讓開發人員對OAuth有個最基本的認識。 OAuth的背景 我們回頭看Line Login與Line Notify中的例子，OAuth在這邊最簡單的應用情境，就是身分驗證。典型的情境中有幾個角色，分別是: 網站或App的開發單位 : 也就是各位開發人員 OAuth服務的提供者(Provider) : 也就是Line(或Google、Microsoft…etc.) 終端用戶(End-User) : 網站使用者、Line使用者、消費者、客戶…etc. 上面這三者的關係是什麼？ 當我們建立一個網站（例如Pc Home購物）、或App(例如一個手機遊戲)，都非常有可能需要建立一組會員機制，這些機制包含: 登入（包含身分驗證，帳號、密碼保存…等） 個資管理（用戶名稱、地址、電話、暱稱、手機…等) 以往，幾乎都是每一個網站自己做一套，但這樣有很多麻煩事，首先用戶要記得很多組帳號密碼，而每一個網站都自己搞一套會員機制，網站開發人員自己也很辛苦，加上最近這幾年大家都很重視個資，網站儲存（保管）了很多帳號密碼與個人資料，總是會有被駭的風險。因此，這十年來，很多大廠開始提供登入（與身分驗證）機制服務。 也就是說，小網站你不用自己做登入和會員管理了，你連過來我這邊，我是大網站，我已經有幾百萬上億的用戶，(例如全台灣都用Line)，而且早就做了超級安全的會員管理機制，你這小網站何必自己做會員管理呢？你跟我連結不就得了，我大網站來幫你管理個資，提供你登入的服務，你把會員資料通通存我這裡，用戶也不需要記得很多組帳密，只需要記得我大網站的帳密，一樣可以登入你小網站(或稱為第三方應用）來使用你提供的服務，這樣皆大歡喜。 因此，大家就這麼做了。 但提供這樣服務的大廠越來越多，Google、Microsoft、Yahoo…都提供了這樣的服務，導致小網站為了對使用者更貼心，可能要同時連結上很多這種提供身分服務的大網站，如果每一家連結方式都不同，就很煩。因此，業界就開了幾個會，共同決定了一套工業標準，就是OAuth了。 有哪些功能？ 所以你會發現，基本上網站開發人員有兩種身分，一種是OAuth服務的提供者(像是Google、微軟、Line)，另一種是OAuth服務的使用者，像是一般的小網站(trello)。而終端用戶只需要在大網站申請過帳號，就可以登入小網站來使用服務。 但，大網站當然不能給你(小網站)用戶的帳號和密碼，否則多麼不安全呢?因此OAuth工業標準讓服務提供者(大網站)透過一種標準的作法，在用戶驗證過身分之後，提供一組會過期的令牌給小網站，這就是token。 小網站拿著這個令牌，就可以跟大網站取得用戶的個資，或是其他需要的資料。小網站也可以拿著這個令牌，跟大網站確認該令牌是否已經到期。 所以，整個流程大概是底下這樣: 由於上述過程中的(2)，登入畫面是大網站提供的，因此你小網站不會得知用戶的帳號密碼，大網站只會在登入成功後，把一個具有有效期限的Token傳給你小網站，一旦你需要存取用戶的資料，就拿這個token去跟大網站溝通。 當然，實際上的OAuth操作步驟又更複雜，如果你參考我們前面介紹的Line Login那篇，就會知道，用戶被引導到大網站完成登入之後，你小網站是無法直接取得token的，而是取得一個code，再去用這個code跟大網站換得一個token。為何要多這一道手續?因為，網際網路是個不安全的所在，在網路上傳遞的任何東西，都可能被路上經手的路由器或其他設備給擷取、偽造、變更，因此要確保安全，得更加小心一點。 因此一般的OAuth流程，其實應該長得像是底下這樣(這是微軟Graph API的OAuth Auth Authorization Code Flow流程) : 還有更複雜的、更進階的。 如果大網站除了提供用戶的個資之外，還要可以讓小網站有權限做一些額外的事情，像是變更用戶大頭照、取得用戶上傳的檔案、幫用戶book一個行事曆…這都是Office 365/Google Apps裡面典型的情境，如此一來，終端使用者(end-user)可能就要授權小網站，到底能夠使用該用戶在大網站中多少資料，也就是大網站的用戶要賦予小網站多大的權限，來存取該終端用戶的個資? 這部分，一般稱之為 Permission Scope。 所以，OAuth除了提供登入身分驗證之外，也逐漸開始負擔了網站合作之間的授權管理功能。 好，現在回過頭來看，請參考Line Login與Line Notify這兩篇中的例子，你會發現一開始我們都只是組出一個URL，來取得Authorization […]
從零開始建造一個vue項目
準備工作 環境依賴：Node.js； vue官方腳手架： vue-cli； 具體怎麼安裝nodejs和vue-cli的部分就不再具體說明了，請查看官方文檔按步驟執行即可（安裝nodejs會安裝npm（包管理工具），vue-cli依賴npm來安裝，注意這個先後關係）。 背景知識 vue.js核心 框架 webpack 打包工具，使用vue-cli初始化項目的時候，我們選擇webpack作為我們的模塊打包工具 開始動手 初始化項目，選擇webpack作為打包工具，項目名稱是my-project，然後按照提示進行一些配置，過程中可以選擇使用vue-router（推薦使用）；這些配置最終會寫到項目的package.json中和安裝相應的模塊 vue init webpack my-project 复制代码 接下來使用自己熟悉的編輯器打開項目，目錄結構大致是這樣的 構建和配置目錄：webpack打包的相關配置文件 src目錄：我們最終編寫業務代碼的地方 static目錄：我也不知道幹嘛用的 package.json package.json是項目最基礎的配置文件。可以發現裡面的很多內容，例如名稱，作者，描述等就是剛才初始化項目時我們填充的值； dependencies和devDependencies是項目依賴的包，運行項目之前需要先執行npm install來安裝項目所依賴的包 npm install复制代码 然後我們來重點關註一下scripts npm允許在package.json文件裡面，使用scripts分區定義腳本命令。其中dev和start都是啟動本地開發環境的，lint是做語法校正的，build是打包最終在線代碼的 { “name”: “my-project”, “version”: “1.0.0”, “description”: “A Vue.js project”, “author”: “ideagay <[email protected]>”, “private”: true, “scripts”: { “dev”: “webpack-dev-server –inline –progress –config build/webpack.dev.conf.js”, “start”: “npm run dev”, […]
How to Use MQTT With the Raspberry Pi and ESP8266
In this Instructable, I will explain what the MQTT protocol is and how it is used to communicate between devices.Then, as a practical demonstration, I shall show you how to setup a simple two client system, where an ESP8266 module will send a message to a Python program when a button is pushed. Specifically, I […]
Go 語言很好很強大，但我有幾個問題想吐槽
Go 是一門非常不錯的編程語言。然而，我在公司的Slack 編程頻道中對Go 的抱怨卻越來越多（猜到我是做啥了的吧？），因此我認為有必要把這些吐槽寫下來並放在這裡，這樣當人們問我抱怨什麼時，我給他們一個鏈接就行了。 先聲明一下，在過去的一年裡，我大量地使用Go語言開發命令行應用程序、scc、lc和API。其中既有供客戶端調用的大規模API，也有即將在https://searchcode.com/使用的語法高亮顯示器。 我這些批評全部是針對Go 語言的。但是，我對使用過的每種語言都有不滿。我非常贊同下面的話： “世界上只有兩種語言：人們抱怨的語言和沒人使用的語言。” —— Bjarne Stroustrup 1 不支持函數式編程 我並不是一個函數式編程狂熱者。說到Lisp 語言，我首先想到的是語言障礙。 這可能是Go 語言最大的痛點了。與大部分人不同，我不希望Go 支持泛型，因為它會為多數Go 項目帶來不必要的複雜性。我希望Go 語言支持適用於內置切片和Map 的函數式方法。切片和Map 具有通用性，並且可以容納任何類型，從這個意義上講，它們已經非常神奇。在Go 語言中只有利用接口才能實現類似效果，但這樣一來將喪失安全性和速度。 例如，請考慮下面的問題。 給定兩個字符串切片，找出二者都包含的字符串，並將其放入新的切片以備後用。 複製代碼 existsBoth := []string{} for _, first := range firstSlice { for _, second := range secondSlice { if first == second { existsBoth = append(existsBoth, proxy) break } } […]
本博客Nginx 配置之安全篇
之前有細心的朋友問我，為什麼你的博客副標題是「專注WEB 端開發」，是不是少了「前端」的「前」。我想說的是，儘管我從畢業到現在七年左右的時間一直都在專業前端團隊從事前端相關工作，但這並不意味著我的知識體係就必須局限於前端這個範疇內。現在比較流行「全棧工程師」的概念，我覺得全棧意味著一個項目中，各個崗位所需要的技能你都具備，但並不一定意味著你什麼都需要做。你需要做什麼，更多是由能力、人員配比以及成本等各個因素所決定。儘管我現在的工作職責是在WEB 前端領域，但是我的關注點在整個WEB 端。 我接觸過的有些前端朋友，從一開始就把自己局限在一個很小的範圍之中，這在大公司到也無所謂，大公司分工明確，基礎設施齊全，你只要做好自己擅長的那部分就可以了。但是當他們進入創業公司之後，會發現一下子來了好多之前完全沒有接觸過的東西，十分被動。 去年我用Lua + OpenResty替換了線上千萬級的PHP + Nginx服務，至今穩定運行，算是前端之外的一點嘗試。我一直認為學習任何知識很重要的一點是實踐，所以我一直都在折騰我的VPS，進行各種WEB安全、優化相關的嘗試。我打算從安全和性能兩方面介紹一下本博客所用Nginx的相關配置，今天先寫安全相關的。 隱藏不必要的信息 大家可以看一下我的博客請求響應頭，有這麼一行server: nginx，說明我用的是Nginx服務器，但並沒有具體的版本號。由於某些Nginx漏洞只存在於特定的版本，隱藏版本號可以提高安全性。這只需要在配置裡加上這個就可以了： server_tokens off; 如果想要更徹底隱藏所用Web Server，可以修改Nginx源碼，把Server Name改掉再編譯，具體步驟可以自己搜索。需要提醒的是：如果你的網站支持SPDY，只改動網上那些文章寫到的地方還不夠，跟SPDY有關的代碼也要改。更簡單的做法是改用Tengine這個Nginx的增強版，並指定server_tag為off或者任何想要的值就可以了。另外，既然想要徹底隱藏Nginx，404、500等各種出錯頁也需要自定義。 同樣，一些WEB語言或框架默認輸出的x-powered-by也會洩露網站信息，他們一般都提供了修改或移除的方法，可以自行查看手冊。如果部署上用到了Nginx的反向代理，也可以通過proxy_hide_header指令隱藏它： proxy_hide_header X-Powered-By; 禁用非必要的方法 由於我的博客只處理了GET、POST 兩種請求方法，而HTTP/1 協議還規定了TRACE 這樣的方法用於網絡診斷，這也可能會暴露一些信息。所以我針對GET、POST 以及HEAD 之外的請求，直接返回了444 狀態碼（444 是Nginx 定義的響應狀態碼，會立即斷開連接，沒有響應正文）。具體配置是這樣的： NGINXif ($request_method !~ ^(GET|HEAD|POST)$ ) { return 444; } 合理配置響應頭 我的博客是由自己用ThinkJS 寫的Node 程序提供服務，Nginx 通過proxy_pass 把請求反向代理給Node 綁定的IP 和端口。在最終輸出時，我給響應增加了以下頭部： NGINXadd_header Strict-Transport-Security “max-age=31536000”; add_header X-Frame-Options deny; add_header X-Content-Type-Options […]
一天学会PostgreSQL应用开发与管理 – 1 如何搭建一套学习、开发PostgreSQL的环境
背景 万事开头难，搭建好一套学习、开发PostgreSQL的环境，是重中之重。 因为其他平台(Ubuntu, CentOS, MAC)的用户大多数都具备了自行安装数据库的能力，在这里我只写一个面向Windows用户的学习环境搭建文档。 分为三个部分，用户可以自由选择。 如果你想深入的学习PostgreSQL，建议搭建PostgreSQL on Linux的环境。如果你只是想将数据库使用在日常的应用开发工作中，有也不需要PG的其他附加插件的功能，那么你可以选择PostgreSQL on Win的环境搭建。 如果你不想搭建本地的PostgreSQL，那么你可以使用云数据库服务，比如阿里云RDS for PostgreSQL。 本章大纲 一、PostgreSQL on Win环境搭建 1 环境要求 2 下载PostgreSQL安装包 3 解压PostgreSQL安装包 4 下载pgadmin安装包(可选) 5 安装pgadmin(可选) 6 规划数据文件目录 7 初始化数据库集群 8 配置postgresql.conf 9 配置pg_hba.conf(可选) 10 启动、停止数据库集群 11 如何自动启动数据库集群 12 使用psql 命令行连接数据库 13 新增用户 14 使用psql帮助 15 使用psql语法补齐 16 使用psql sql语法帮助 17 查看当前配置 18 […]
mongodb 数据库操作–备份 还原 导出 导入
mongodb数据备份和还原主要分为二种，一种是针对于库的mongodump和mongorestore，一种是针对库中表的mongoexport和mongoimport。 一，mongodump备份数据库 1，常用命令格 mongodump -h IP –port 端口 -u 用户名 -p 密码 -d 数据库 -o 文件存在路径 如果没有用户谁，可以去掉-u和-p。 如果导出本机的数据库，可以去掉-h。 如果是默认端口，可以去掉–port。 如果想导出所有数据库，可以去掉-d。 2,导出所有数据库 [root@localhost mongodb]# mongodump -h 127.0.0.1 -o /home/zhangy/mongodb/ connected to: 127.0.0.1 Tue Dec 3 06:15:55.448 all dbs Tue Dec 3 06:15:55.449 DATABASE: test to /home/zhangy/mongodb/test Tue Dec 3 06:15:55.449 test.system.indexes to /home/zhangy/mongodb/test/system.indexes.bson Tue Dec 3 […]
The 7 Best Open Source Load Testing Tools of 2017
All open source load testing tools don’t have the same functionality and some will better suit to your needs than others. Open Source Drawbacks Open source load testing tools may not be ideal, but they’re a whole lot better than skipping load testing entirely just because you don’t have room in the budget for a […]
搭建 Docker 环境
安装 Docker Docker 软件包已经包括在默认的 CentOS-Extras 软件源里。因此想要安装 docker，只需要运行下面的 yum 命令： yum install docker-io -y 直接yum安装，安装成功后查看版本 docker -v 启动docker service docker start 设置开机启动 chkconfig docker on 配置 Docker 因为国内访问 Docker Hub 较慢, 可以使用腾讯云提供的国内镜像源, 加速访问 Docker Hub 依次执行以下命令 echo “OPTIONS=’–registry-mirror=https://mirror.ccs.tencentyun.com'” >> /etc/sysconfig/docker systemctl daemon-reload service docker restart Docker 的简单操作 任务时间：10min ~ 20min 下载镜像 下载一个官方的 CentOS 镜像到本地 docker pull […]
搭建微信订阅号后台服务
搭建微信订阅号后台服务 准备域名 任务时间：20min ~ 40min 微信公众平台需要配置服务器地址 URL 访问，在实验开始之前，我们要准备域名。 域名注册 如果您还没有域名，可以在腾讯云上选购，过程可以参考下面的视频。 视频 – 在腾讯云上购买域名 域名解析 域名购买完成后, 需要将域名解析到实验云主机上，实验云主机的 IP 为： <您的 CVM IP 地址> 在腾讯云购买的域名，可以到控制台添加解析记录，过程可参考下面的视频： 视频 – 如何在腾讯云上解析域名 域名设置解析后需要过一段时间才会生效，通过 ping 命令检查域名是否生效 [?]，如： ping www.yourmpdomain.com 如果 ping 命令返回的信息中含有你设置的解析的 IP 地址，说明解析成功。 注意替换下面命令中的 www.yourmpdomain.com 为您自己的注册的域名 申请微信个人订阅号 任务时间：5min ~ 10min 在开始搭建我们的订阅号服务器之前，需要先拿到订阅号相关信息。 注册开发者账号 如果你还不是微信订阅号开发者，请先在微信公众平台注册： https://mp.weixin.qq.com 具体注册流程可参考如下视频： 视频 – 注册开发者账号 若您已注册，请点击下一步。 获取微信订阅号公众平台认证字段信息 我们需要获取3个字段：AppID Token EncodingAESKey。 登录微信公众平台，依次进入 开发 – 基本配置 可以拿到 AppID。 在基本配置 – 服务器配置 – 修改配置 表单中： […]