OAuth 2.0 - Что нового?

Может ли кто-нибудь перечислить основные различия между OAuth 2.0 и предыдущими версиями? Или укажите мне хорошую документацию. (Не полный проект протокола OAuth 2.0, у меня нет времени его прочитать.)

Ответ 1

Основное различие между 1.0 и 2.0 - это масштаб. Все остальное гораздо менее значимо. 2.0 был разработан с нуля для Google/Facebook/многонациональной телекоммуникационной шкалы, оптимизируя каждый шаг и каждый учетный показатель.

В OAuth 1.0 каждый запрос требует двух секретов и сложной нормализации запроса для создания подписи. У этого есть сломанная логика nonce/timestamp, которую никто не реализует должным образом (лучше всего держать в секрете в отрасли, так это то, что Twitter, вероятно, является единственным поставщиком, проверяющим значения nonce с 15-минутным перекосом часов для временных меток).

OAuth 2.0 гораздо более честен в отношении настольных и мобильных клиентов, требований к регистрации и ограничений протокола. Спецификация немного сложнее из-за гораздо большего списка требований и нового уровня абстракции, называемого санкционированными грантами.