OAuth

最新版本: 2.0，Token 格式： JSON or SAML2.0，適合用於 API 授權。

流程

1. 告知 SP 需要認證，並導向 IDP， IDP 向 SP 詢問是否同意訪問用戶訊息，若同意，則回傳 Authorization code。

2. 客戶端拿著 authorization code 向 IDP 取得 Access Token。

3. 客戶端組成 Bearer Token 方式請求，向 SP 取得資源。

4. SP 拿到資源，回頭向 IDP 驗證用戶身份，無誤後就回傳資源與 Token 資訊。

如為SAML 格式，該避免 SAML 無法解析 POST 的內容

• 可以使用 SAML 原因，因為向 IDP 請求資源時是使用 authorization code， 可以輕易地綁定在重導向 URL。

• IDP 返回客戶端，是使用重導向的方式，且這邊 URL 允許自定義 schema， 因此可以在Mobile 開啟。

參考資料

• https://blog.yorkxin.org/2013/09/30/oauth2-4-1-auth-code-grant-flow.html