OAuth 2.0 生成的 ID 密钥怎么给第三方对接？

[bayker]

部署了一个 Oauth2.0。但实际使用的时候，我生成 ID 密钥后，怎么给对接方呢？ QQ，邮件 但感觉都不对，这样颁发者（我）也知道了他们的 ID，密钥。

这完全是不可信，可靠的方式啊。 请问大家是用什么方式呢？

[bayker]

@littleylv 密钥我真不知道，密钥是加密存储数据库。但 AppId、AppSecret 是什么，不属于 oauth2.0 吧。

[bayker]

@popvlovs AppId、AppSecret 是什么，是属于 Oauth 的吗？

[popvlovs]

@bayker 你的理解是不对的，你所说的密码模式是 Resource Owner Password Credentials Grant 么？这个模式下没有 AppId 和 AppClient （这意味着 OAuth 服务供应商无需校验应用端的可靠性，一般来说不会这样做，除非 OAuth 服务供应商完全信任应用端），这个模式下用户需要输入自己的登陆凭证（一般是用户名和密码）来交换 Token

[popvlovs]

比较常用的模式是 Authorization Code Grant，这种模式下，OAuth 服务的供应商会签发一对 AppId 和 AppSecret 给应用端，这两个东西是 OAuth 服务商校验 App 身份的一个手段，主要目的是为了防止冒充

[popvlovs]

也叫 ClientId 和 ClientSecret

[bayker]

@popvlovs 好的，明白了。谢谢。