OAuth 2.0 与 OpenID Connect

OAuth 是什么

授权 vs 认证；与 JWT 登录的分工。

授权码流

Authorization Code、redirect、state 防 CSRF。

PKCE 与 SPA

code_verifier/challenge；公共客户端。

OpenID Connect

id_token、UserInfo、与 OAuth2 关系。

Scope 与权限

scope 粒度、最小权限。

Refresh Token

轮换、过期、存储安全。

Spring OAuth2 Client

spring.security.oauth2.client 配置。

Resource Server

JWT 校验、@PreAuthorize 与 token introspection。

第三方登录

GitHub/Google 登录流程直觉。

OAuth vs 本站 JWT 登录

Sa-Token 密码登录 vs 联邦登录场景。

常见安全问题

redirect_uri 校验、token 泄露、implicit 废弃。

综合练习

授权码 + JWT Resource Server 实验。