为什么 OAuth 设计为具有请求令牌和访问令牌？
在 OAuth 协议中，服务使用者将要求用户在服务提供商域中授权请求令牌，然后将请求令牌交换为访问令牌<来自服务提供商。
我想知道为什么 OAuth 被设计为在协议中包含两个令牌。
为什么不在这个过程中只使用一个令牌呢？也就是说，用户将授权令牌，服务使用者将使用令牌从提供者处检索信息。
In the OAuth protocol, a service consumer will ask a user to authorize a request token in the service provider domain, then exchanges the request token for a access token from the service provider.
I'm wondering why OAuth is designed to have two tokens in the protocol.
Why not just use one single token in this process? That is, the user would authorize the token, and the service consumer would retrieve info from the provider with the token.
如果你对这篇内容有疑问，欢迎到本站社区发帖提问 参与讨论，获取更多帮助，或者扫码二维码加入 Web 技术交流群。
绑定邮箱获取回复消息
由于您还没有绑定你的真实邮箱，如果其他用户或者作者回复了您的评论，将不能在第一时间通知您！
发布评论
评论（2）
出于可用性和安全原因。
来自OAuth 初学者指南：
https://hueniverse.com/beginners-guide-to-oauth-part-iii-security-architecture-e9394f5263b5
===
的骗局
请注意，这个问题是为什么我们必须在 OAuth 中“更改令牌凭据的临时凭据”？
如果初学者指南中的解释不清楚，请阅读@npdoty 的看法。
For usability and security reasons.
From the Beginner’s Guide to OAuth:
https://hueniverse.com/beginners-guide-to-oauth-part-iii-security-architecture-e9394f5263b5
===
Note that this question is a dupe of
Why must we "change temporary credentials for token credentials" in OAuth?
If the explanation from the Beginner’s Guide isn't clear, then go read @npdoty's take on it .
来自官方 OAuth 1.0 指南
总而言之，用户基本上为 OAuth 请求令牌提供用户名和密码。您向想要使用 OAuth 连接到某些内容的服务提供请求令牌，他们会收到访问令牌。这使得服务永远不会看到/使用用户名和密码。
From The Official OAuth 1.0 Guide
To sum up what that said basically the user gives a username and password to for an OAuth request token. You give the service that wants to connect to something using OAuth the request token and they receive the access token. This makes it so that the service never sees/uses the username and password.